Результатом работы должна быть структурная схема информационной системы, на которой отображаются:

• 
  основные серверы системы (если они есть), в том числе выделяются серверы, доступные извне, с указанием применяемых операционных систем;
  
• 
  элементы системы, которые являются узлами связи различных компонент (сегментов) информационной системы;
  
• 
  рабочие места, непосредственно связанные с выделенными для этого серверами, а также имеющие возможность организации связи с другими серверами, с указанием применяемых операционных систем;
  
• 
  рабочие места или локальные сети, из которых возможно осуществление доступа к внешним информационным службам, с указанием средств, при помощи которых осуществляется доступ;
  
• 
  реализация сетевых взаимодействий и особенности построения кабельной инфраструктуры.
  

4.3.1.4 Определение особенностей размещения основных сегментов и служб информационной системы, а также прокладки и использования кабельной системы, линий и каналов связи

Для исключения физического доступа посторонних лиц к элементам информационной системы необходимо проанализировать их размещение и возможности предотвращения или затруднения несанкционированного контакта с техническими средствами, в том числе:

• 
  помещения, где располагаются основные серверы и рабочие места, на которых производится обработка наиболее важной информации, контролируемость подходов к ним, способы охраны, в том числе противопожарной, и сигнализации;
  
• 
  размещение в помещениях технических средств, особенно там, где возможно появление посетителей, с точки зрения недоступности для визуального обзора посторонними лицами;
  
• 
  построение и размещение кабельных систем с точки зрения возможности доступа к ним посторонних лиц или несанкционированного подключения дополнительных устройств, расположения посторонних кабелей, способы и средства контроля за целостностью кабелей;
  
• 
  особенности реализации связи с удаленными подразделениями, если для этого используются каналы связи или передачи данных общего пользования, например, каналы городской телефонной сети.
  

4.3.1.5 Определение особенностей расположения и использования элементов систем коммуникаций и жизнеобеспечения

Для функционирования системы, особенно с точки зрения обеспечения целостности ресурсов и правильности их функционирования, важным является построение систем жизнеобеспечения, в том числе системы электропитания, пожаротушения и других.

---

Другой стороной систем жизнеобеспечения является их взаимосвязь с общедоступными системами и большая разнесенность по территории, что критично с точки зрения предотвращения утечки информации за счет электромагнитных наводок.

Результаты работы по этому разделу являются основой для формирования детальных описаний политики безопасности в виде правил разграничения доступа к ресурсам конкретных информационных служб, а также для выявления существующих угроз безопасности информации и выбора необходимых дополнительных механизмов безопасности.

1. 1   2   3   4   5   6

---

4.3.2 Определение класса защищенности АС

Для того чтобы сформировать набор требований по безопасности, которым должна отвечать АС, необходимо определить ее класс защищенности. Класс защищенности сегмента АС, обрабатывающего гостайну, согласно руководящему документу ГТК «Классификация АС и требования по защите информации» определяется на основании:

• 
  перечня защищаемых ресурсов АС и их уровней конфиденциальности;
  
• 
  перечня лиц, имеющих доступ к штатным средствам АС, с указанием их уровня полномочий;
  
• 
  матрицы доступа или полномочий субъектов доступа по отношению к защищаемым информационным ресурсам АС;
  
• 
  режимов обработки данных в АС.
  

При исследовании или проектировании информационной архитектуры системы необходимо определить:

• 
  режимы обработки информации (коллективный или индивидуальный), т. е. порядок использования АРМ или одним или несколькими пользователями;
  
• 
  полномочия пользователей по доступу к конкретным информационным ресурсам (файлам, каталогам, дискам) и штатным средствам АС (АРМ, серверам, внешним каналам связи и т. п.);
  
• 
  уровни секретности и категории защищаемой информации.
  

Для обработки секретной информации разрешается использовать только АС категорий 3А, 2А, 1В, 1Б, 1А.

Если АС состоит из одной или нескольких автономных АРМ, каждая из которых предназначена для индивидуального использования одним из пользователей, который допущен ко всей информации, располагаемой на этом АРМ и информация имеет один уровень секретности (не важно какой!), то АС относится к классу 3А.

Если в АС пользователи имеют одинаковые права доступа (полномочия) ко всей информации, обрабатываемой в АС и имеющей различные уровни секретности, то система относится к классу защищенности 2А.

Если в АС при тех же прочих условиях, что и для класса 2А, не все пользователи имеют доступ ко всей информации в системе, то система относится к первой группе. При этом отнесение АС к определенному классу производится на основании наличия информации определенного уровня конфиденциальности, соответственно, для обработки информации «особой важности» предназначены системы с классом защиты 1А, для «совершенно секретной» – 1Б и «секретной» – 1В.

Требуемый уровень защищённости информационной подсистемы персональных данных (ИСПДн) определяется согласно Постановлению Правительства РФ от 1 ноября 2012 года № 1119.

---

Для определения нужного уровня защищённости необходимо определить три входных параметра:

1. Тип ПДн в ИСПДн: специальные, биометрические, иные, общедоступные. Биометрические не могут быть и специальными, а вот все остальные типы могут и пересекаться (например: общедоступные биометрические - фото на сайте - и т. д.

2. Количество ПДн субъектов. (Более 100 000 или менее 100 000).

3. Тип угроз: 1 тип - защита от НДВ требуется в системном и прикладном ПО, 2 тип - защита от НДВ только в прикладном ПО, 3 тип – игнорируются все НДВ.

Таблица для определения уровня защищённости ИСПДн выглядит в виде таблицы 6.

Класс защищенности сегмента АС, являющегося государственной информационной системой (ГИС) - определяется в соответствии с приказом ФСТЭК № 17, для сегмента АСУ технологического процесса управления критически важными объектами - в соответствии с приказом ФСТЭК № 31.
Т а б л и ц а 6

Уровни защищенности ИСПДн

Менее 100000 субъектов (либо сотрудники)
	Специ- альные	Биомет- рические	Иные	Общедос-тупные
1-й тип угроз	1	1	1	2
2-й тип угроз	2	2	3	3
3-й тип угроз	3	3	4	4
Более 100000 субъектов
	Специ- альные	Биомет- рические	Иные	Общедос-тупные
1-й тип угроз	1	1	1	2
2-й тип угроз	1	2	2	2
3-й тип угроз	2	3	3	4

4.4  Формирование требований к построению СЗИ

Определение класса защищенности АС позволяет сформировать набор требований по безопасности, которые предъявляются к этому классу систем. Эти требования изложены в РД ГТК и приказах ФСТЭК. Кроме того, на основе класса защищаемой АС выбираются средства вычислительной техники (СВТ), которые должны иметь соответствующие классы защищенности СВТ.

---

В ГОСТ Р ИСО/МЭК 15408 общий набор требований по безопасности к АС называется Заданием по безопасности, выполнение которого должно дать определенные гарантии защищенности информации от НСД.

Полный набор мер защиты для ИСПДн определяется в соответствии с приказом ФСТЭК № 21, для ГИС - в соответствии с приказом ФСТЭК № 17, для АСУ ТП критически важных объектов - в соответствии с приказом ФСТЭК № 31 после составления частной модели угроз учреждения.
4.5 Определение уязвимостей автоматизированной системы и определение модели нарушителя

Выделение уязвимостей АС, определение модели нарушителя и затем формирование модели угроз безопасности преследует цель ранжирования последних по степени опасности для функционирования информационной системы в зависимости от возможного ущерба.

4.5.1 Выбор анализируемых компонент информационной системы, в рамках которых возможно возникновение нарушений безопасности

На основе работ, выполненных при анализе информационной системы, получено достаточно информации, чтобы определить направления, на которых наиболее вероятно возникновение угроз безопасности информации. В зависимости от построения системы можно задать уровень детальности рассмотрения (уровни декомпозиции) на основе, например, следующих градаций:

• 
  информационная система в целом;
  
• 
  сегменты информационной системы и средства связи между ними;
  
• 
  серверы информационных служб и используемые сетевые технологии;
  
• 
  рабочие станции различного назначения и их конфигурации;
  
• 
  межсегментные устройства;
  
• 
  средства связи с удаленными корреспондентами.
  

4.5.2 Формирование моделей источников угроз безопасности

информации и модели нарушителя

Нарушитель - это лицо, предпринявшее попытку выполнения запрещенных операций (действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и т. п.) и использующее для этого различные возможности, методы и средства.

При разработке модели нарушителя определяются:

• 
  предположения о категориях лиц, к которым может принадлежать нарушитель;
  
• 
  предположения о мотивах действий нарушителя (преследуемых нарушителем целях);
  
• 
  предположения о квалификации нарушителя и его технической оснащенности (об используемых для совершения нарушения методах и средствах);
  
• 
  ограничения и предположения о характере возможных действий нарушителей.
  

---

Смотрите также файлы

• Конституция Российской Федерации Уголовнопроцессуальный кодекс.docx

• Знаний о государстве и праве. В узком смысле система юридических наук. Появление государства и права, задачи по их обслуживанию и развитию вызвали к жизни возникновение правоведения, как особой отрасли общественных знаний.docx

• Иерхический метод Макаронные изделия.docx

• Контрольная работа 2 Тема. Средняя линия треугольника. Трапеция. Вписанные и описанные четырёхугольники.odt

• Комплект задач по теории вероятностей и математической статистике.docx