Файл: Разработка системы защиты персональных данных на.docx

Скачать файл
Заказать решение

ВУЗ: Не указан

Категория: Не указан

Дисциплина: Не указана

Добавлен: 05.12.2023

Просмотров: 189

Скачиваний: 4

ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.

СОДЕРЖАНИЕ

ОБОЗНАЧЕНИЯ СОКРАЩЕНИЙ

ВВЕДЕНИЕ

1. ОСНОВЫ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.1 Законодательные основы защиты персональных данных

Классификация угроз информационной безопасности персональных
данных.

Общая характеристика источников угроз в информационных системах персональных
данных

Характеристика Банка и его деятельности

1.6 Устройство и угрозы локальной вычислительной сети Банка

1.7 Средства защиты информации

1.8 Организационные меры защиты

1.9 Цикл обработки персональных данных

2. РАЗРАБОТКА МЕР ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В БАНКЕ

2.1 Мероприятия по защите локальной вычислительной сети банка и информационной системы персональных данных В сети ПАО «Витабанк» есть ярко выраженные слабые места, используя которые злоумышленники могут получить полный доступ к сети банка и перехватить над ней контроль, после чего смогут беспрепятственно украсть, изменить или удалить персональные данные клиентов или сотрудников Банка.Так как сеть Банка представляет собой один единственный сегмент, то для минимизации рисков проникновения злоумышленников в сеть Банка, её необходимо разделить на несколько сегментов с использованием технологии виртуальных сетей.Концепция технологии построения виртуальных сетей (VLAN) заключается в том, что администратор сети может создавать в ней логические группы пользователей независимо от того, к какому участку сети они подключены. Объединять пользователей в логические рабочие группы можно, например, по признакам общности выполняемой работы или совместно решаемой задачи. При этом группы пользователей могут взаимодействовать между собой или быть совершенно невидимыми друг для друга. Членство в группе можно изменять, и пользователь может быть членом нескольких логических групп. Виртуальные сети формируют логические широковещательные домены, ограничивая прохождение широковещательных пакетов по сети, так же, как и маршрутизаторы, изолирующие широковещательный трафик между сегментами сети. Таким образом, виртуальная сеть предотвращает возникновение широковещательных штормов, так как широковещательные сообщения ограничены членами виртуальной сети и не могут быть получены членами других виртуальных сетей. Виртуальные сети могут разрешать доступ членам другой виртуальной сети в случаях, где это необходимо для доступа в общие ресурсы, типа файловых серверов или серверов приложений, или где общая задача, требует взаимодействия различных служб, например кредитных и расчетных подразделений. Виртуальные сети могут создаваться по признакам портов коммутатора, физических адресов устройств, включаемых в сеть и логических адресов протоколов третьего уровня модели OSI. Преимущество виртуальных сетей состоит в высокой скорости работы коммутаторов, так как современные коммутаторы содержат специализированный набор интегральных схем специально разработанных для решения задач коммутации на втором уровне модели OSI. Виртуальные сети третьего уровня наиболее просты в установке, если не требуется переконфигурация клиентов сети, наиболее сложны в администрировании, т.к. любое действие с клиентом сети требует либо переконфигурации самого клиента либо маршрутизатора, и наименее гибки, так как для связи виртуальных сетей требуется маршрутизация, что увеличивает стоимость системы и снижает ее производительность.Таким образом, создание виртуальных сетей в Банке предотвратит атаки типа ARP-spoofing. Злоумышленники не смогут перехватить информацию, проходящую между сервером и клиентом. При проникновении в сеть злоумышленники смогут просканировать не всю сеть Банка, а только сегмент сети в который они получили доступ.При проникновении в сеть Банка злоумышленники в первую очередь будут сканировать сеть для поиска критически важных узлов сети. Этими узлами являются: Контроллер домена; Proxy сервер; Почтовый сервер; Файловый сервер; Сервер приложений. Так как в Банке локальная сеть будет организована с использованием технологии виртуальных сетей, злоумышленники не смогут без дополнительных действий обнаружить эти узлы. Для того чтобы усложнить злоумышленникам поиск критически важных узлов локальной сети и запутать их, а в дальнейшем изучить стратегию злоумышленников при проведении атаки в сети нужно использовать ложные объекты, которые будут привлекать злоумышленников. Эти объекты называются Honeypot.Задача Honeypot – подвергнуться атаке или несанкционированному исследованию, что впоследствии позволит изучить стратегию злоумышленников и определить перечень средств, с помощью которых могут быть нанесены удары по реально существующим объектам безопасности. Реализация Honeypot может представлять собой как специальный выделенный сервер, так и один сетевой сервис, задача которого – привлечь внимание взломщиков.Honeypot представляет собой ресурс, который без какого-либо воздействия на него ничего не делает. Honeypot собирает небольшое количество информации, после анализа которой строится статистика методов, которыми пользуются взломщики, а также определяется наличие каких-либо новых решений, которые впоследствии будут применяться в борьбе с ними.Например, веб-сервер, который не имеет имени и фактически никому не известен, не должен, соответственно, иметь и гостей, заходящих на него, поэтому все лица, которые пытаются на него проникнуть, являются потенциальными взломщиками. Honeypot собирает информацию о характере поведения этих взломщиков и об их способах воздействия на сервер. После чего специалисты отдела информационной безопасности собирают информацию об атаке злоумышленников на ресурс и разрабатывают стратегии отражения атак в будущем.Для контроля входящей из сети Интернет информации и обнаружения
угроз информационной безопасности на этапе их передачи по сети, а также обнаружения активности злоумышленников, проникнувших в локальную сеть Банка необходимо на границе сети установить систему предотвращения вторжений.Система предотвращения вторжений – программная или аппаратная система сетевой и компьютерной безопасности, обнаруживающая вторжения или нарушения безопасности и автоматически защищающая от них.Системы предотвращения вторжений можно рассматривать как продолжение Систем обнаружения вторжений, так как задача отслеживания атак остается одинаковой. Однако, они отличаются в том, что система предотвращения вторжений отслеживает активность в реальном времени и быстро реализует действия по предотвращению атак.Системы обнаружения и предотвращения вторжений подразделяются на: Сетевые системы предотвращения вторжений – анализируют трафик, направленный в сеть организации, проходящий в самой сети или направленный к конкретному компьютеру. Системы обнаружения и предотвращения вторжений могут быть реализованы программными или программно-аппаратными методами, устанавливаются на периметре корпоративной сети и иногда внутри нее. Персональные системы предотвращения вторжений – это программное обеспечение, которое устанавливается на рабочие станции или серверы и позволяет контролировать деятельность приложений, а также отслеживать сетевую активность на наличие возможных атак. Для развёртывания в сети Банка была выбрана сетевая система предотвращения вторжений.Рассматривались сетевые системы вторжений компаний IBM, Check Point, Fortinet, Palo Alto, так как заявленный функционал производителей этих систем подходил под требования отдела информационной безопасности Банка.После развёртывания тестовых стендов и проведения тестирования систем предотвращения вторжений была выбрана система производства компании Check Point, так как она показала наилучшее быстродействие, лучшую подсистему обнаружения вирусного программного обеспечения, передаваемого по локальной сети, лучший инструментарий по протоколированию и журналированию важных событий и цене приобретения.Система предотвращения вторжений компании IBM была отвержена из-за стоимости устройств, превышающей бюджет отдела информационной безопасности на покупку системы предотвращения вторжений.Система предотвращения вторжений компании Fortinet была отвержена из-за неполного срабатывания при выполнении сотрудниками отдела информационной безопасности тестов по передаче заражённых файлов и недостаточно информативного инструментария журналирования важных событий.Система предотвращения вторжений компании Palo Alto была отвержена из-за недостаточно информативного инструментария журналирования важных событий, чрезмерной сложности работы с системой и работе в большей степени как маршрутизатор.Для внедрения в локальную сеть была выбрана система предотвращения вторжений компании Check Point. Эта система показала высокий уровень обнаружения
угроз информационной безопасности, гибкие настройки, возможность расширения функционала за счёт приобретения дополнительных программных модулей, имеет мощную систему журналирования важных событий и мощный инструментарий по предоставлению отчётов о происшествиях, с помощью которого можно гораздо проще расследовать произошедшие инциденты информационной безопасности.Для внедрения в локальную сеть Банка выбрана модель Check Point 4600.Характеристики модели системы предотвращения вторжений Check Point 4600 представлены в таблице 2.Таблица 2. Характеристики модели системы предотвращения вторжений Check Point 4600.

2.2 Программные и аппаратные средства защиты

2.3 Базовая политика безопасности

3. ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ ПРОЕКТА

ЗАКЛЮЧЕНИЕ

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

ПРИЛОЖЕНИЕ 1


МОСКОВСКИЙ ФИНАНСОВО-ПРОМЫШЛЕННЫЙ УНИВЕРСИТЕТ

«СИНЕРГИЯ»

Факультет электронного обучения_


Направление
09.03.02
Кафедра
ЭО




(код)



(аббревиатура)

ВЫПУСКНАЯ КВАЛИФИКАЦИОННАЯ работа


на тему
Разработка системы защиты персональных данных на

предприятии ПАО «Витабанк»







Обучающийся

Казеннова ольга Александровна
 
_____________




(Ф.И.О. полностью)



подпись

Руководитель

Алехина Гелена Васильевна
 
_____________




(Ф.И.О. полностью)



подпись

Рецензент




 
_____________




(Ф.И.О. полностью)



подпись

Консультант




 
_____________




(Ф.И.О. полностью)



подпись


Декан ФЭО
Гриценко Анатолий Григорьевич



_____________




(Ф.И.О. полностью)



подпись

МОСКВА 2016 г.

СОДЕРЖАНИЕ



ОБОЗНАЧЕНИЯ СОКРАЩЕНИЙ 4

ВВЕДЕНИЕ 5

1. ОСНОВЫ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ 7

1.1 Законодательные основы защиты персональных данных 7

1.2Классификация угроз информационной безопасности персональных
данных. 10

1.3Общая характеристика источников угроз в информационных системах персональных
данных 21

1.3.1 Общая характеристика источников угроз несанкционированного доступа в информационной системе персональных данных. 26

1.3.2 Общая характеристика угроз непосредственного доступа в операционную среду информационной системы персональных
данных 31

1.3.3 Общая характеристика угроз безопасности персональных
данных, реализуемых с использованием протоколов межсетевого взаимодействия 33

1.4Характеристика Банка и его деятельности 46

1.5Базы персональных данных 47

1.5.1 Информационная система персональных данных сотрудников организации 47

1.5.2 Информационная система персональных данных системы контроля и управления доступом 49

1.5.3 Информационная система персональных данных автоматизированной банковской системы 50

1.6 Устройство и угрозы локальной вычислительной сети Банка 52

1.7 Средства защиты информации 53

1.8 Организационные меры защиты 56

1.9 Цикл обработки персональных данных 58

2. РАЗРАБОТКА МЕР ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В БАНКЕ 60

2.1 Мероприятия по защите локальной вычислительной сети банка и информационной системы персональных данных 60

2.2 Программные и аппаратные средства защиты 67

2.3 Базовая политика безопасности 71

2.3.1 Система повышения осведомлённости сотрудников в вопросах информационной безопасности 72

2.3.2 Порядок доступа сотрудников к ресурсам сети Интернет 73

2.3.3 Порядок доступа сотрудников к внутрибанковским ресурсам 74

2.3.4 Порядок работы сотрудников с электронной почтой 75

2.3.5 Парольная политика Банка 75

2.3.6 Правила доступа сотрудников к персональным данным 76

3. ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ ПРОЕКТА 77

ЗАКЛЮЧЕНИЕ 79

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ 80

ПРИЛОЖЕНИЕ 1 83



ОБОЗНАЧЕНИЯ СОКРАЩЕНИЙ



АРМ – автоматизированное рабочее место

АС – автоматизированная система

ИСПДн – информационная система персональных
данных

НСД – несанкционированный доступ


ПАК – программно-аппаратный комплекс

ПАО – публичное акционерное общество

ПДн – персональные данные

ПО – программное обеспечения

СЗИ – система защиты информации

СЗИ от НСД – система защиты информации от несанкционированного доступа

СМИ – средства массовой информации

УБПДн – угроза безопасность персональных
данных

ВВЕДЕНИЕ



Повсеместная компьютеризация, начавшаяся в конце XX века продолжается и в наши дни. Автоматизация процессов в организации повышает производительность труда сотрудников организации. Пользователи
информационных систем могут быстро получать данные необходимые для выполнения их должностных обязанностей. Однако вместе с облегчением доступа к данным существует проблемах сохранности этих данных. Обладая доступом к различным информационным системам, злоумышленники могут использовать их в корыстных целях: сбор данных для продажи их на чёрном рынке, кража денежных средств у клиентов организации, кража коммерческой тайны организации.

Поэтому проблема защиты критично важной информации для организаций стоит очень остро. Всё чаще становится известно из СМИ о различных техниках или методиках кражи денежных средств посредством взлома информационных систем финансовых организаций. Получив доступ в информационные системы персональных
данных, злоумышленник может своровать данные клиентов финансовых организаций, информацию об их финансовых операциях распространить их, нанеся клиенту банка как финансовый, так и репутационный вред. Кроме того, узнав данные о клиенте, мошенники могут напрямую позвонить клиенту, представившись сотрудниками банков и обманным путём, используя технику социального инжиниринга узнать пароли от систем дистанционного банковского обслуживания и вывести деньги со счета клиента.


В нашей стране проблема кражи и незаконного распространения персональных
данных стоит очень остро. В сети Интернет существует большое количество ресурсов, на которых содержаться ворованные базы персональных
данных, с помощью которых, например, по номеру мобильного телефона, можно найти очень подробную информацию по человеку, включая его паспортные данные, адреса проживания, фотографии и многое другое.

В данном дипломном проекте я рассмотрю процесс создания системы защиты персональных
данных в ПАО «Витабанк».

Смотрите также файлы