Файл: Министерство науки и высшего образования Российской Федерации фгаоу во Волгоградский государственный университет Институт приоритетных технологий Кафедра информационной безопасности утверждаю.docx
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 24.10.2023
Просмотров: 268
Скачиваний: 1
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
2.7. описание групп внешних и внутренних пользователей лаборатория Инженерного проектирования, уровней их полномочий и типов доступа (в состав групп пользователей включаются все пользователи, для которых требуется авторизация при доступе к информационным ресурсам, и пользователи, для которых не требуется авторизация (например, предоставлен доступ к сайту без прохождения авторизации).
Небольшой стартап под названием "Инновационные технологии", разрабатывающий специализированные инженерные проекты для клиентов, обычно имеет несколько групп пользователей, как внутренних, так и внешних, которым требуется авторизация при доступе к информационным ресурсам лаборатории. Ниже приведены некоторые распространенные группы пользователей и их уровни доступа:
1. Члены проектной команды: Это внутренние пользователи, которые непосредственно участвуют в разработке проекта. К ним относятся инженеры, проектировщики и другие сотрудники проекта, которым необходим доступ к технической информации, относящейся к проекту, такой как проектные спецификации, технические отчеты и руководства по техническому обслуживанию. Эти пользователи, как правило, имеют высокий уровень доступа к информационным ресурсам лаборатории и уполномочены получать доступ к данным, связанным с проектом, по мере необходимости.
2. Клиенты: Это внешние пользователи, которые наняли лабораторию для разработки специализированного инженерного проекта для них. Как правило, они имеют ограниченный доступ к информационным ресурсам лаборатории и могут просматривать только те данные, связанные с проектом, которыми они поделились. Им также может потребоваться разрешение на доступ к отчетам о ходе реализации проекта или другой информации, имеющей отношение к их потребностям.
3. Поставщики: Это внешние организации, которые участвуют в проекте, такие как поставщики материалов, оборудования или услуг. Возможно, им потребуется получить разрешение на доступ к данным, связанным с проектом,
чтобы быть в курсе изменений, которые могут повлиять на их участие в проекте.
4. Соавторы: Это внешние организации, которые сотрудничают с лабораторией в рамках проекта, такие как научно-исследовательские институты, университеты или другие консультанты. Возможно, им потребуется получить разрешение на доступ к данным, связанным с проектом, чтобы убедиться, что у них есть информация, необходимая для участия в проекте.
В дополнение к авторизованным пользователям, в лаборатории могут также быть пользователи, которым не требуется авторизация для доступа к сайту. К ним могут относиться посетители, которые просто просматривают веб-сайт лаборатории, или пользователи, которые получают доступ к информации, не связанной с проектом, такой как политика компании или другая общая информация. Эти пользователи могут не иметь никакого доступа к данным, связанным с проектом, и могут иметь доступ только к информации, которая не является конфиденциальной или деликатной.
2.8. Описание внешних интерфейсов и взаимодействий лаборатория инженерного проектирования с пользователями (в том числе посредством машинных носителей информации, средств ввода-вывода, веб-приложений), иными системами и сетями, обеспечивающими системами, в том числе с сетью «Интернет».
Небольшой стартап под названием "Инновационные технологии", который разрабатывает специализированные инженерные проекты для клиентов, как правило, имеет внешние интерфейсы и взаимодействует с пользователями различными способами, включая:
1. Машинные носители: Лаборатория может предоставлять авторизованным пользователям доступ к данным, связанным с проектом, через машинные носители, такие как персональные компьютеры, ноутбуки, планшеты и смартфоны. Это позволяет пользователям получать доступ к данным из любого места, где есть подключение к Интернету.
2. Инструменты ввода-вывода: Лаборатория может предоставлять авторизованным пользователям средства ввода-вывода, такие как клавиатуры, мыши и сенсорные экраны, для ввода и извлечения данных из информационных систем лаборатории.
3. Веб-приложения: Лаборатория может предоставлять авторизованным пользователям доступ к веб-приложениям, таким как системы управления проектами, программное обеспечение для проектирования и платформы хранения данных. Эти приложения могут включать в себя такие функции, как отслеживание задач, инструменты совместной работы, а также хранение файлов и общий доступ к ним.
4. Другие системы и сети: Лаборатория может взаимодействовать с другими системами и сетями для предоставления специализированных услуг по инженерному проектированию. Например, лаборатория может получать доступ к внешним базам данных или использовать облачные платформы для предоставления клиентам удаленного доступа к данным и ресурсам.
5. Интернет: Лаборатория может взаимодействовать с пользователями через Интернет, в том числе посредством электронной почты, обмена мгновенными сообщениями и видеоконференций. Эти взаимодействия могут использоваться для обмена информацией, связанной с проектом, обсуждения проектных спецификаций и предоставления обратной связи и вводных данных по проекту.
2.9. Информацию о функционировании лаборатории инженерного проектирования на базе информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры, о модели предоставления вычислительных услуг, о распределении ответственности за защиту информации между обладателем информации, оператором и поставщиком вычислительных услуг, об условиях использования информационно- телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры поставщика услуг (при наличии).
В последние годы многие лаборатории инженерного проектирования внедрили центры обработки данных или облачную инфраструктуру для хранения и обработки своих данных. Это позволило им получать доступ к данным из любого места с подключением к Интернету, снижая их зависимость от физической инфраструктуры и снижая затраты на эксплуатацию собственного центра обработки данных.
Функционирование лаборатории инженерного проектирования, которая опирается на центр обработки данных или облачную инфраструктуру, обычно включает в себя несколько ключевых компонентов:
1. Хранение данных: Лаборатория обычно хранит свои данные на серверах, предоставляемых поставщиком услуг. Эти серверы обычно расположены в центрах обработки данных, которые обеспечивают высокий уровень безопасности и надежности. Эти центры обработки данных полагаются на современное аппаратное и программное обеспечение для обеспечения целостности, доступности и конфиденциальности данных.
2. Вычислительные услуги: Лаборатория обычно использует вычислительные услуги, предоставляемые поставщиком услуг, для выполнения ресурсоемких задач, таких как моделирование, анализ и оптимизация проектирования. Эти службы могут включать виртуальные машины, контейнеры и другие вычислительные ресурсы, которые могут быть предоставлены и которыми можно управлять по требованию.
3. Защита информации: Защита информации является важнейшим компонентом любой лаборатории инженерного проектирования, независимо от того, опирается ли она на центр обработки данных или облачную инфраструктуру. Лаборатория обычно несет ответственность за защиту конфиденциальности, целостности и доступности своих данных, в то время как поставщик услуг несет ответственность за защиту физической безопасности своих центров обработки данных и обеспечение доступности своих вычислительных ресурсов.
Что касается условий использования информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры поставщика услуг, то они обычно включают следующие ключевые положения:
1. Владение данными: Поставщик услуг обычно владеет аппаратным и программным обеспечением, составляющим его центр обработки данных или облачную инфраструктуру, в то время как заказчик (лаборатория) владеет данными, которые он хранит и обрабатывает в системах поставщика.
2. Безопасность данных: Поставщик услуг несет ответственность за обеспечение физической и цифровой безопасности своих центров обработки данных, в то время как лаборатория отвечает за внедрение соответствующих средств контроля информационной безопасности для защиты конфиденциальности, целостности и доступности своих данных.
3. Соглашения об уровне обслуживания: Поставщик услуг обычно предоставляет соглашения об уровне обслуживания (SLA), в которых описывается уровень обслуживания, который он будет предоставлять лаборатории,
включая время безотказной работы, производительность и стандарты безопасности. Лаборатория должна убедиться, что она соответствует требованиям соглашения об уровне обслуживания, и может нести ответственность за любой ущерб, причиненный в результате невыполнения этого требования.
4. Соответствие стандартам и нормативным актам: Поставщик услуг должен соблюдать все применимые стандарты и нормативные акты, связанные с обработкой данных
3. Возможные негативные последствия от реализации (возникновения) угроз безопасности информации
3.1. Описание видов рисков (ущербов), актуальных для обладателя информации, оператора, которые могут наступить от нарушения или прекращения основных процессов.
Небольшой стартап под названием "Инновационные технологии", разрабатывающий специализированные инженерные проекты для клиентов, сталкивается с несколькими потенциальными рисками, которые могут возникнуть в результате нарушения или прекращения ключевых процессов. Эти риски могут повлиять как на владельца информации, так и на оператора, в том числе:
1. Утечка данных: Утечка данных происходит, когда неавторизованные лица получают доступ к конфиденциальной информации, такой как конфиденциальные спецификации дизайна или данные клиента. Это может привести к физическому и/или финансовому ущербу владельцу информации и/или оператору.
Каналы утечки конфиденциальной информации подразделяют на четыре основные группы, в которых для незаконного получения важных сведений производится:
1.Подслушивание, перехват электромагнитных сигналов (без внедрения технических приспособлений в линии связи);
2.Похищение, копирование, изучение и запоминание данных, остающихся на бумажных и электронных носителях во время их обработки;
3.Взлом систем защиты информации, проникновение в хранилища данных, незаконное подключение специальных устройств для просмотра и прослушки, а также внедрение шпионских компьютерных программ;
4.Подкуп или шантаж работников и руководства компании.