Добавлен: 25.10.2023
Просмотров: 973
Скачиваний: 28
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
СОДЕРЖАНИЕ
ГЛАВА 1. СИСТЕМА КОНТРОЛЯ И УПРАВЛЕНИЯ ДОСТУПОМ
1.1 Анализ обрабатываемой информации и классификация ИСПДн
2.1 Организационные мероприятия по защите ПДн в ИСПДн СКУД машиностроительного завода
2.2 Физические мероприятия по защите информации в ИСПДн
2.3 Система охранно-пожарной сигнализации
ГЛАВА 3. БИОМЕТРИЧЕСКИЕ ИДЕНТИФИКАТОРЫ С СКУД
3.1 Обзор рынка биометрических считывателей
Его доступ, аутентификация и права по доступу к некоторому подмножеству ПДн должны регламентироваться соответствующими правилами разграничения доступа.
Программисты - пятая категория (зарегистрированные пользователи с полномочиями системного администратора ИСПДн).
Лицо этой категории:
- обладает всеми возможностями лиц предыдущих категорий;
- обладает полной информацией о системном и прикладном программном обеспечении ИСПДн;
- обладает полной информацией о технических средствах и конфигурации ИСПДн;
- имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн;
- обладает правами конфигурирования и административной настройки технических средств ИСПДн.
Системный администратор выполняет конфигурирование и управление программным обеспечением (ПО) и оборудованием, включая оборудование, отвечающее за безопасность защищаемого объекта: средства криптографической защиты информации, мониторинга, регистрации, архивации, защиты от НСД.
Из вышеизложенного следует, что нарушитель ИСПДн СКУД ОАО «ММЗ» относится к 5 категории.
Возможные угрозы в ИСПДн.6
Угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.
Существует методика по определению угроз информационной безопасности и построения частной модели угроз. Она описана в документе ФСТЭК «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утверждена 14 февраля 2008 г. Актуальной считается только та угроза, которая может быть реализована с информационной системе и представляет опасность для защищаемых сведений. Поэтому в модели угроз опишем только те, которые относятся к нашей информационной системе и являются актуальными. Угрозы безопасности и определение их актуальности описаны в таблице 1.
Таблица 1
| угрозы безопасности | степень опасности Y1 | вероятность реализации Y2 | коэффициент реализуемости | возможность реализации | степень актуальности | ||||
| 1. утечка акустической (речевой) информации - перехват информации, содержащейся непосредственно в произносимой реи; | Н | 2 | 06 | средняя | неактуальная | ||||
| 2. утечка акустической (речевой) информации - перехват информации, воспроизводимой акустическими средствами АС; | Н | 2 | 0,6 | средняя | неактуальная | ||||
| 3. утечка видовой информации - просмотр информации с помощью оптических (оптикоэлектронных) средств с экранов дисплеев и других средств отображения, входящих в состав АС; | Н | 2 | 0,6 | средняя | неактуальная | ||||
| 4. перехват информации с использованием специальных электронных устройств съема информации внедренных в ОТСС; | | 0 | 0,5 | средняя | неактуальная | ||||
| 5. перехват информации с использованием специальных электронных устройств съема информации внедренных в ВТСС; | Н | 0 | 0,5 | средняя | неактуальная | ||||
| 6. перехват информации с использованием специальных электронных устройств съема информации внедренных в помещения; | Н | 0 | 0,5 | средняя | неактуальная | ||||
| 7. утечка информации по каналу ПЭМИН - перехват ПЭМИ ТС обработки информации; | Н | 0 | 0,75 | высокая | актуальная | ||||
| 8. утечка информации по каналу ПЭМИН - наводки на ВТСС; | Н | 0 | 0,75 | высокая | актуальная | ||||
| 9. утечка информации по каналу ПЭМИН - наводки на линии, инженерные конструкции, выходящие за пределы КЗ; | Н | 5 | 0,75 | высокая | актуальная | ||||
| 10. НСД к информации, обрабатываемой в АРМ - действия нарушителей при непосредственном доступе к АС; | Н | 5 | 0,75 | высокая | актуальная | ||||
| 11. НСД к информации, обрабатываемой в АРМ, по средствам внедрения аппаратных закладок; | Н | 5 | 0,5 | высокая | актуальная | ||||
| 12. Угрозы, реализуемые в ходе загрузки ОС и направленные на перехват паролей и идентификаторов, модификацию базовой системы ввода / вывода (BIOS), перехват управления загрузкой; | Н | 5 | 0,5 | высокая | актуальная | ||||
| 13. Угрозы, реализуемые после загрузки ОС и направленные на выполнение НСД с применением стандартных функций (уничтожение, копирование, перемещение, форматирование носителей информации и т.п.) ОС или какой-либо прикладной программы (например, системы управления базами данных), с применением специально созданных для выполнения НСД программ (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.) | Н | 5 | 0,75 | высокая | актуальная | ||||
| 14. Внедрение вредоносных программ; | Н | 5 | 0,75 | высокая | актуальная | ||||
| 15. угрозы «Анализа сетевого трафика» с перехватом передаваемой по сети информации; | Н | 2 | 0,6 | средняя | неактуальная | ||||
| 16. угрозы выявления паролей; | Н | 2 | 0,6 | средняя | неактуальная | ||||
| 17. угрозы удаленного запуска приложений; | Н | 2 | 0,6 | средняя | неактуальная | ||||
| 18. угрозы внедрения по сети вредоносных программ. | Н | 2 | 0,6 | средняя | неактуальная | ||||
| | | | | | | ||||
Для того чтобы произвести анализ рисков (таблица 4), необходимо проанализировать виды угроз, описанные в таблице.
Расчет риска происходит по следующей схеме:
Риск = Величина потерь * Вероятность реализации угрозы
Величина потерь - неотрицательное число. В таблице 2 представлена шкала для определения возможного ущерба. А шкала для определения вероятности угроз в таблице 3.
Таблица 2
| Величина потерь | Описание ущерба от реализации угрозы |
| 0 | Реализации угрозы приведет к ничтожному ущербу |
| 1 | Основная деятельность не будет затронута. Финансовых потерь не будет, возможные последствия учтены в бюджете или предприняты меры по переносу риска |
| 2 | Деятельность организации прервется на некоторое время. Будут затронуты внутренние функции организации, превышен бюджет, потеряны возможности получить прибыль |
| 3 | Будут затронуты внешние функции организации, нанесен большой финансовый ущерб. Возможна утрата части партнерских связей |
| 4 | На восстановление требуются крупные финансовые вложения, деятельность прерывается на длительный срок, возможна смена руководства |
| 5 | Деятельность прекращается, невосполнимый ущерб |
Таблица 3
| Вероятность реализации угрозы | Средняя частота появления |
| 0 | Данный вид атаки отсутствует вообще |
| 1 | Реже, чем 1 раз в год |
| 2 | Около 1 раза в год |
| 3 | Около 1 раза в месяц |
| 4 | Около 1 раза в неделю |
| 5 | Ежедневно |
Таблица 4
| | | | |
| Описание угрозы | Ущерб | Вероятность | Риск |
| 1. утечка информации по каналу ПЭМИН - перехват ПЭМИ ТС обработки информации; | 1 | 2 | 2 |
| 2. утечка информации по каналу ПЭМИН - наводки на ВТСС; | 1 | 2 | 2 |
| 3. утечка информации по каналу ПЭМИН - наводки на линии, инженерные конструкции, выходящие за пределы КЗ; | 1 | 2 | 2 |
| 4. НСД к информации, обрабатываемой в АРМ - действия нарушителей при непосредственном доступе к АС; | 2 | 5 | 10 |
| 5. Угрозы, реализуемые в ходе загрузки ОС и направленные на перехват паролей и идентификаторов, модификацию базовой системы ввода / вывода (BIOS), перехват управления загрузкой; | 2 | 5 | 10 |
| 6. Угрозы, реализуемые после загрузки ОС и направленные на выполнение НСД с применением стандартных функций (уничтожение, копирование, перемещение, форматирование носителей информации и т.п.) ОС или какой-либо прикладной программы (например, системы управления базами данных), с применением специально созданных для выполнения НСД программ (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.) | 2 | 5 | 10 |
| 7. Внедрение вредоносных программ; | 2 | 5 | 10 |
| Итого: | 46 | | |
Суммарный риск подсчитывается как сумма максимальных величин риска для каждой угрозы.
Максимальный риск - это риск, который понесет организация при осуществлении всех угроз. Максимальный риск рассчитывается как произведение суммарной цены всех угроз (11) на максимальную величину возможности реализации угрозы (5). Максимальный риск составляет 55 ед.
Соответственно, среднее значение частоты осуществления угроз можно определить, как частное от суммарного риска и суммарной цены всех угроз. Среднее значение частоты возникновения угроз Рср=55/46=1,2. т.е., исходя из методики и шкалы, различные угрозы осуществляются около одного раза в год.7
Для снижения рисков, во-первых, предлагается введение организационно-правовых мер. Однако одних организационно-правовых мер для обеспечения защиты информации недостаточно, необходимо также использовать и программно-аппаратные средства защиты.
Понизить вероятность риска, а, следовательно, и уменьшить предполагаемый ущерб, можно потратив некоторую денежную сумму на построение системы защиты.
Комплексная система защиты должна уменьшать вероятность риска таким образом, чтобы затраты на её внедрение и эксплуатацию, не превышали возможного ущерба от угроз на информацию, которую она защищает.
ГЛАВА 2. ТЕХНИЧЕСКОЕ ЗАДАНИЕ
2.1 Организационные мероприятия по защите ПДн в ИСПДн СКУД машиностроительного завода
Предмет контракта: выполнение работ по защите биометрических данных в ИСПДн СКУД завода.
Защите подлежат персональные данные в соответствии с Федеральным законом от 27.07.2006 №152-ФЗ «О защите персональных данных»
Состав работ:
1. Разработка Перечня информационных систем персональных данных (ИСПДн):
- Анализ структуры информационных систем, с целью выделения независимых ИСПДн.
- Сбор необходимых исходных данных для классификации ИСПДн.
2. Разработка Модели Угроз
Разработка модели угроз безопасности персональных данных при их обработке в информационной системе персональных данных СКУД, во исполнение требованиями подпункта «а» пункта 12 «Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденного постановлением Правительства Российской Федерации от 17 ноября 2007 года №781, в соответствии с требованиями методических документов Федеральной службы по техническому и экспортному контролю Российской Федерации и Федеральной службы безопасности Российской Федерации:
- Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утверждена заместителем директора ФСТЭК 14 февраля 2008 года.
- «Базовая модель угроз безопасности персональных данных при их обработке в информационной системе персональных данных», утверждена заместителем директора ФСТЭК 15 февраля 2008 года.
- «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утверждены руководством 8 центра ФСБ №149/5-144 от 21 февраля 2008 года.
3. Классификация ИСПДн
Сбор и анализ исходных данных по ИСПДн СКУД.
Определение категории обрабатываемых в информационной системе персональных данных и других необходимых критериев для классификации ИСПДн, в соответствии с «Порядком проведения классификации информационных систем персональных данных», утвержденным приказом Федеральной службы по техническому и экспортному контролю, Федеральной службы безопасности Российской Федерации и Министерства информационных технологий и связи Российской Федерации от 13 февраля 2008 г. №55/86/20.