Файл: Основные элементы системы защиты информации коммерческого предприятия.pdf

Правовой элемент системы защиты информации базируется на нормах информационного права и предполагает юридическое закрепление взаимоотношений предприятия и государства по поводу обязанности персонала соблюдать установленные собственником информации ограничительные и технологические меры защитного характера, по поводу правомерности использования системы защиты информации фирмы и персонала, а также ответственности персонала за нарушение порядка защиты информации.

Организационный элемент включает в себя меры управленческого, ограничительного (режимного) и технологического характера, определяющие основы и содержание системы защиты, побуждающие персонал соблюдать правила защиты конфиденциальной информации фирмы. Эти меры связаны с установлением режима конфиденциальности в фирме. Инженерно-технический элемент системы защиты информации в свою очередь предназначен для активного и пассивного противодействия средствам технической разведки и формирования рубежей охраны территории, здания, помещений и оборудования с помощью различных технических средств. При защите информационных систем этот элемент имеет весьма важное значение, хотя стоимость средств технической защиты велика. Что нельзя сказать о средствах инженерной защиты, к примеру такой элемент этой защиты как колючая проволока является едва ли не самым распространённым средством по защите от проникновения.

Программно-аппаратный элемент в свою очередь предназначен для защиты ценной информации, обрабатываемой и хранящейся в компьютерах, серверах и рабочих станциях локальных сетей и различных информационных системах. Кроме этого фрагменты этой защиты могут быть использованы как сопутствующие средства в инженерно-технической и организационной защите.

Криптографический элемент системы защиты информации подразумевает под собой защиту информации при помощи криптографии. Под криптографией понимается искусство письма секретными кодами и их дешифровка. Защита данных с помощью шифрования – возможно, одно из важнейших решений проблемы их безопасности. Зашифрованные данные становятся доступными только тому, кто знает, как их расшифровать, и поэтому похищение зашифрованных данных бессмысленно для несанкционированных пользователей.

Глава 2 Анализ и разработка мероприятий по совершенствованию защиты информации в ОАО «РЖД»

2.1 Сфера деятельности ОАО «РЖД»

Железнодорожный комплекс имеет особое стратегическое значение для России. Он является связующим звеном единой экономической системы, обеспечивает стабильную деятельность промышленных предприятий, своевременный подвоз жизненно важных грузов в самые отдаленные уголки страны, а также является самым доступным транспортом для миллионов граждан.

Открытое акционерное общество «Российские железные дороги» входит в мировую тройку лидеров железнодорожных компаний. Это определяют следующие факторы:

• огромные объемы грузовых и пассажирских перевозок;
• высокие финансовые рейтинги;
• квалифицированные специалисты во всех областях железнодорожного транспорта;
• большая научно-техническая база;
• проектные и строительные мощности;
• значительный опыт международного сотрудничества.

ОАО «РЖД» было учреждено постановлением Правительства РФ от 18 сентября 2003 года № 585. Создание компании стало итогом первого этапа реформирования железнодорожной отрасли в соответствии с постановлением Правительства РФ от 18 мая 2001 года № 384.

1 октября 2003 года – начало деятельности ОАО «РЖД».

Учредителем и единственным акционером ОАО «РЖД» является Российская Федерация. От имени Российской Федерации полномочия акционера осуществляет Правительство Российской Федерации.

Имущество компании было сформировано путем внесения в уставный капитал ОАО "РЖД" по балансовой стоимости активов 987 организаций федерального железнодорожного транспорта, принадлежащих государству.

Миссия компании заключается в эффективном развитии конкурентоспособного на российском и мировом рынках транспортного бизнеса, ядром которого является эффективное выполнение задач национального железнодорожного перевозчика грузов и пассажиров и владельца железнодорожной инфраструктуры общего пользования.

Главные цели деятельности общества – обеспечение потребностей государства, юридических и физических лиц в железнодорожных перевозках, работах и услугах, оказываемых железнодорожным транспортом, а также извлечение прибыли.

Стратегические цели компании:

• увеличение масштаба транспортного бизнеса;
• повышение производственно-экономической эффективности;
• повышение качества работы и безопасности перевозок;
• глубокая интеграция в евро-азиатскую транспортную систему;
• повышение финансовой устойчивости и эффективности.

Виды деятельности:

• грузовые перевозки;
• пассажирские перевозки в дальнем сообщении;
• пассажирские перевозки в пригородном сообщении;
• предоставление услуг инфраструктуры;
• предоставление услуг локомотивной тяги;
• ремонт подвижного состава;
• строительство объектов инфраструктуры;
• научно-исследовательские и опытно-конструкторские работы;
• содержание социальной сферы.

2.2 Анализ существующей системы защиты информации в ОАО «РЖД»

Система обеспечения информационной безопасности (СОИБ) предназначена для обеспечения надежной защиты информационной инфраструктуры ОАО «РЖД» от угроз информационной безопасности (ИБ) и представляет собой совокупность нормативной базы СОИБ, организационных мер (организационная структура СОИБ), технических и программных средств защиты.

Ключевое (центральное) место в СОИБ занимает система управления информационной безопасностью (СУИБ), позволяющая с использованием технических и организационных методов и мер решать задачи управления процессами ИБ на различных уровнях, являющаяся частью общей системы управления ОАО «РЖД», основанной на подходе, учитывающем бизнес-риски.

СУИБ состоит из органов управления ИБ, нормативно-методического, информационносправочного и технического обеспечения управления ИБ (рис. 1).

Рис. 2.1 - Состав СОИБ

В основу построения СУИБ положен процессный подход, задаваемый современными стандартами менеджмента качества и семейством стандартов по управлению ИБ, в том числе стандартом, разработанным в ОАО «РЖД» - «СТО РЖД 1.18.002-2009 Управление информационной безопасностью. Общие положения». Основные процессы оперативного управления в СУИБ связаны с управлением инцидентами ИБ, т.е. процессами мониторинга, регистрации событий и инцидентов ИБ, их обработки и анализа защищенности, принятием мер по устранению причин и последствий нарушения ИБ.

При этом преимущественно реализуется корректирующее управление и верификационно-факторный подход, ориентированный на достижение базового уровня безопасности за счет обеспечения соответствия различным системам требований, задаваемых регламентирующими документами, применением базового набора мер и их соответствующей адаптацией к реальным или вновь появляющимся факторам: возникновению новых угроз, заданию более жестких требований по ИБ, развитию систем и т.п.

Перспективным представляется применение в ОАО «РЖД» смешанного подхода, сочетающего верификационно-факторный и риск-ориентированный подходы. Управление рисками ИБ (неоперативное управление), связанное с проведением аудита ИБ, оценкой и анализом рисков, их обработкой и принятием решений по корректирующим мерам обеспечения ИБ и по совершенствованию СУИБ, позволит обеспечивать гарантированный уровень информационной безопасности ОАО «РЖД».

В настоящее время решение задач обеспечения и управления ИБ, а также поддержки управления процессами ИБ в ОАО «РЖД» обеспечивается комплексом организационных мероприятий и применением программно-технических систем и средств защиты информации:

1. подсистемы антивирусной защиты;
2. подсистемы защиты от несанкционированного доступа: (идентификации и аутентификации, управления доступом, регистрации событий безопасности, контроля целостности, ограничения программной среды, криптографической защиты информации, защиты межсетевого взаимодействия);
3. подсистемы защиты от компьютерных атак;
4. подсистемы мониторинга, оценки защищенности и анализа уязвимостей в аппаратном и программном обеспечении;
5. подсистемы управления инцидентами информационной безопасности и т. д.

Таким образом, в техническом плане существующая СУИБ в значительной мере является системой управления инцидентами ИБ.

2.3 Мероприятия по совершенствованию защиты информации в ОАО «РЖД»

Для поддержки СУИБ используются система оценки защищенности (СОЗ) автоматизированных информационно-телекоммуникационных систем (АИТС) и автоматизированная система корреляции событий информационной безопасности (АС КСИБ), которые обеспечивают сбор и обработку событий ИБ из различных источников на основе агентской технологии или использовании коннекторов с различными источниками событий, таких, как:

1. средства защиты информации (включая межсетевые экраны, системы обнаружения вторжений, средства построения VPN, средства антивирусной защиты, средства защиты от несанкционированного доступа, сканеры защищенности, системы управления доступом (в том числе, системы контроля и управления доступом);
2. сетевое оборудование;
3. системное программное обеспечение (операционные системы, системы управления базами данных);
4. средства управления и мониторинга информационной инфраструктурой;
5. прикладное программное обеспечение;
6. различные программно-аппаратные средства;
7. информация об изменениях прав доступа пользователей, производственных процессов, физической инфраструктуры;
8. системы и средства видеонаблюдения;
9. другие источники.

Количество регистрируемых различными источниками событий ИБ применительно к инфраструктуре ОАО «РЖД» составляет миллионы событий в сутки. При этом возникает ряд проблем, требующих решения:

а) огромное количество событий, которые не могут быть в полном объеме обработаны вручную (просмотрены, проанализированы);

б) большое количество различных источников событий;

в) представление информации в различных форматах;

г) необходимость анализа событий для поиска аномалий;

д) необходимость связывания (корреляции) событий из разных источников между собой (по времени, по схожим источникам событий).

Автоматизация обработки таких объемов информации, направленная на обнаружение, реагирование и ликвидацию последствий инцидентов информационной безопасности, требует разработки новых подходов, методов и моделей управления.

Перспективным подходом к совершенствованию СУИБ является внедрение ситуационного управления ИБ на железнодорожном транспорте, ориентированного на использование элементов интеллектуальных технологий.

Это обусловлено высокой динамичностью процессов, неполнотой их описания и описания состояния внешней среды, что переводит задачи управления информационной безопасностью в режим реального времени с высокой степенью неопределенности. Совокупность таких задач и можно отнести к задачам ситуационного управления информационной безопасностью автоматизированных систем управления (АСУ) критического применения, решение которых требует применения соответствующих методов и моделей.

2.4 Ситуационная модель управления информационной безопасностью

Рассмотрим модель ситуационного управления информационной безопасностью в нечеткой среде, пригодную для практического использования в ОАО «РЖД».

Множество различных факторов, влияющих на состояние ИБ АСУ является открытым, что приводит соответственно к множеству возможных текущих ситуаций (состояний ИБ) - S^m, однако количество управляющих решений (U) по влиянию на них, как правило, ограничено, т.е. S(m) >> (U).

В этих условиях модели ситуационного управления обладают наибольшей эффективностью [1, 2]. Такое управление, хотя и не оптимизирует сам процесс управления, но справляется с управляющими функциями лучше (по меньшей мере, в стрессовых ситуациях), чем пользователь. Общая схема модели ситуационного управления ИБ в АСУ представлена на рис. 2.