МИНИСТЕРСТВО СВЯЗИ И МАССОВЫХ КОММУНИКАЦИЙ РОССИЙСКОЙ ФЕДЕРАЦИИ

ГОСУДАРСТВЕННОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ

ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ

«САНКТ-ПЕТЕРБУГРСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ ТЕЛЕКОММУНИКАЦИЙ им. проф. М.А. БОНЧ-БРУЕВИЧА»
Факультет Информационных систем и технологий

Кафедра Информационных управляющих систем
РАБОТА

ЗАЩИЩЕНА С ОЦЕНКОЙ
ПРЕПОДАВАТЕЛЬ

проф., д.т.н.		Н.Н. Мошак
должность, уч. степень, звание	подпись, дата	инициалы, фамилия

ПРАКТИЧЕСКАЯ РАБОТА № 2


«Оценка риска информационной безопасности корпоративной информационной системы на основе модели информационных потоков»



по курсу: Безопасность информационных технологий и систем

РАБОТУ ВЫПОЛНИЛ(А) СТУДЕНТ(КА) ГР.
		подпись, дата	инициалы, фамилия

Санкт-Петербург

2021

Цель работы: рассчитать риск информационной безопасности корпоративной информационной системы на основе модели информационных потоков

Задание:

Составить карту ИС, на которой отобразить все указанные

характеристики. Иными словами, необходимо

1. Нарисовать структурно-функциональную схему ИС, на которой отобразить:

- все ресурсы (сервер закрытого контура, сервер открытого контура, МЭ открытого контура, СКЗИ закрытого контура, однонаправленный шлюз, оборудование ЛВС закрытого контура, оборудование ЛВС открытого контура)

- отделы, к которым относятся ресурсы;

- сетевые группы (локальные сети), физические связи ресурсов между собой и их подключения к Интернет;

- виды ценной информации

---

, хранящейся на ресурсах;

- пользователей (группы пользователей), имеющих доступ к ценной (конфиденциальной) информации.

2. Описать в виде таблиц средства защиты каждого аппаратного ресурса, средства защиты каждого вида информации, хранящемся на нем с указанием веса каждого средства, например:

Средства защиты сервера	Вес
Средства физической защиты
Контроль доступа в помещение, где расположен ресурс (физическая охрана, дверь с замком, специальный пропускной режим в помещение)
Средства локальной защиты
Отсутствие дисководов и USB портов 10
Средства корпоративной сетевой защиты
Межсетевой экран
Обманная система
Система антивирусной защиты на сервере
Средства резервирования и контроля целостности
Аппаратная система контроля целостности
Средства защиты информации (информация №1)	Вес
Средства локальной защиты
Средства криптографической защиты (криптозащита данных на ПК)
Средства резервирования и контроля целостности
Резервное копирование
Программная система контроля целостности

Средства защиты рабочей станции	Вес
Средство физической защиты
Контроль доступа в помещение, где расположен ресурс (дверь с замком, видеонаблюдение)
Средства локальной защиты
Средства антивирусной защиты (антивирусный монитор)
Отсутствие дисководов и USB портов
Средства персональной сетевой защиты
Наличие персонального межсетевого экрана
Система криптозащиты электронной почты

---

3.Описать в виде таблицы вид доступа (локальный, удаленный) и права доступа (чтение, запись, удаление) для каждого пользователя (групп пользователей), а также наличие соединения через VPN, количество человек в группе для каждого информационного потока:

Информационный поток

Вид доступа

Права доступа

Наличие VPN соединения

Количество человек в группе

(Наименование)

(Локальный, удаленный)

(Чтение, запись, удаление)

(Да, нет)

(1,2,….n)

4.Указать наличие у пользователей выхода в Интернет

Пользователь (группа пользователей.)	Доступ в Интернет
(Наименование)	(Есть, нет, не анализируется)

5.Указать ущерб компании от реализации угроз ИБ для каждого информационного потока:

Информационный поток	Конфиденциальность	Целостность	Доступность
(Наименование)	(у.е. в год)	(у.е. в год)	(у.е. в час)

Ущерб определяется с участием владельца ИС, либо им самим непосредственно.

На этом описание архитектуры ИС завершается.

Далее производится расчет рисков для каждого вида ценной информации, хранящейся в ИС по угрозе «нарушение конфиденциальности», «нарушение целостности» и «нарушение доступности» по методике, изложенной выше.

P.S. Веса выбирать самостоятельно

Краткая теоретическая информация

Метод оценки рисков информационной системы на основе модели информационных потоков позволяет оценить защищенность каждого вида информации. Данный метод базируется на построении модели информационной системы организации. Для этого необходимо проанализировать защищенность и архитектуру информационной системы. Специалист по информационной безопасности должен подробно описать архитектуру сети. Анализ и описание архитектуры сети производится при помощи документации, инструментов автоматического сканирования, вопросов, интервью.

---

Описание архитектуры сети производится за счет:

• 
  всех аппаратных (компьютерных) ресурсов, на которых хранится ценная информация;
  
• 
  сетевых групп, в которых находятся ресурсы системы (физические связи ресурсов друг с другом);
  
• 
  отделов, к которым относятся ресурсы:
  
• 
  видов ценной информации;
  
• 
  ущерба для каждого вида ценной информации по трем видам угроз;
  
• 
  бизнес-процессов, в которых обрабатывается информация;
  
• 
  пользователей (а также групп пользователей), которые имеют доступ к ценной информации;
  
• 
  классов групп пользователей;
  
• 
  доступов групп пользователей к информации;
  
• 
  характеристик этого доступа (вида доступа и права доступа);
  
• 
  средств защиты информации;
  
• 
  средств защиты рабочего места групп пользователей.
  

Исходя из полученных данных строится полная модель информационной системы организации на основе которой проводятся оценки рисков для каждого ресурса по угрозе нарушения «конфиденциальности», «целостности» и «доступности».

Алгоритм оценки рисков позволяет получить следующие данные:

• 
  реестр ресурсов;
  
• 
  значения риска для каждого ценного ресурса организации;
  
• 
  значения риска для ресурсов после задания контрмер (остаточный риск);
  
• 
  эффективность контрмер;
  
• 
  рекомендации экспертов.
  

Содержание отчета

1. 
   Структурно-функциональная ИС организации:
   

Составим структурно-функциональную схему информационной системы. На схеме необходимо отобразить:

• 
  все ресурсы (сервер, АРМ, ПО, БД и т.д.) «закрытого» и «открытого» контура ИС;
  
• 
  отделы, к которым относятся ресурсы «закрытого» и «открытого» контура ИС;
  
• 
  сетевые группы «открытого» контура, физические связи ресурсов между собой и их подключения к Интернет и/или к мобильным сетям;
  
• 
  виды ценной информации, хранящейся на ресурсах;
  
• 
  пользователей (группы пользователей), которые имеют доступ к ценной (конфиденциальной) информации.
  

---

---

Смотрите также файлы

• Вопрос Назовите истоки возникновения христианства и причины его победы в Римском обществе.docx

• Изменения в военной структуре от Петра i до наших дней.doc

• Асино 2014.ppt

• Сторителлинг.docx

• 1 Принцип взаимосвязи государственной и муниципальной службы е 2.docx