---

Продолжение таблицы 6
	1	2		3	4
		Уничтожение, модифика-		0,5	Средняя
		ция, блокировка носите-
		лей информации содер-
		жащих коммерческую
		тайну, АРМ сотрудников,
		серверного оборудования
		Утечка, хищение носите-		0,75	Высокая
		лей информации содер-
		жащих коммерческую
		тайну
	Автоматизиро-	Угрозы несанкционированного доступа
	ванные рабочие	Несанкционированный		0,75	Высокая
	места сотруд-	доступ к АРМ сотрудни-
	ников, на кото-	ков
	рых обрабаты-
		Угрозы несанкционированного доступа по каналам связи
	вается защи- щаемая инфор- мация
		Анализ сетевого трафика с перехватом передавае- мой по сети информации		0,25	Низкая
		Сканирования, направ-		0,25	Низкая
		ленные на выявление типа
		операционной
		системы АРМ, открытых
		портов и служб, открытых
		соединений
		Выявление паролей		0,5	Средняя
		Получение НСД путем		0,35	Средняя
		подмены доверенного
		объекта
		Отказ в обслуживании		0,5	Средняя
	Сервер	Угрозы несанкционированного доступа
		Проникновение наруши-		0,5	Средняя
		теля в помещение с сер-
		вером
		Угрозы несанкционированного доступа по каналам связи
		Несанкционированный		0,5	Средняя
		доступ к базам данных
		хранящимся на сервере
		Анализ сетевого трафика		0,25	Низкая
		Сканирование сети		0,25	Низкая
		Подмена доверенного		0,35	Средняя
		объекта сети и
		присвоение прав доступа
			ЮУрГУ–10.05.05.2017.350.ПЗВКР			Лист
						24

---

Продолжение таблицы 6
	1	2		3	4
		Отказ в обслуживании		0,5	Средняя
В данном пункте мы установили исходный уровень защищенности ИС предприятия ООО “Диджитер”, а также рассчитали коэффициент реализуемости угроз, выявленных в пункте 1.6. Возможность реализации угрозы позволяет выявить приоритетные направления для устранения установленных угроз. 1.8. Разработка технического задания для создания КСЗИ На основании проведённого анализа были получены сведения, необходимые для разработки технического задания на создание комплексной системы защиты информации (Приложение Д). Техническое задание разрабатывалось на основании ГОСТ 34.602-1989 «Техническое задание на создание автоматизированной системы» и включает в себя следующие разделы: - общие сведения; - основные назначения и цели создания системы; -характеристика объектов защиты; - требования к КСЗИ; - состав и содержание работ по созданию системы; - порядок контроля и приемки системы; - требования к составу и содержанию работ по подготовке объекта защиты к вводу КСЗИ в действие; - требования к документации.
			ЮУрГУ–10.05.05.2017.350.ПЗВКР			Лист
						25

ВЫВОД ПО ПЕРВОЙ ГЛАВЕ В процессе проведения предпроектного обследования информационной системы ООО “Диджитер”, был разработан паспорт предприятия с точки зрения информационной безопасности, в котором представлены общие сведения об организации. Разработана модель деятельности ООО “Диджитер”. Выявлены объекты защиты информации, разработана модель угроз и рассчитаны риски для важных объектов защиты. Руководствуясь разработанной нами моделью деятельности ООО “Диджитер” и результатами анализа ИС предприятия, была выявлена информация ограниченного доступа – сведения, составляющие коммерческую тайну. В организации ООО “Диджитер” отсутствует режим коммерческой тайны. Руководством компании была поставлена задача о введении режима коммерческой тайны. Для этого в рамках ВКР был разработан комплекс организационно – распорядительных документов и сформулированы рекомендации по реализации, требуемых законодательством, мер по защите информации. Для выявленных объектов защиты ООО “Диджитер”, руководствуясь методикой ФСТЭК была разработана модель угроз. Проведен расчет рисков для выявленных объектов защиты, согласно которому определен исходный уровень защищенности информационной системы – “средний”. Выявлено, что наивысшую степень реализации угроз имеют угрозы связанные с: разглашением, копированием, хищением информации составляющей коммерческую тайну; утечкой, хищением носителей информации, содержащих коммерческую тайну; несанкционированным доступом к АРМ сотрудников. Результатом первой главы является разработанное техническое задание на внедрение КСЗИ в ООО “Диджитер”, основой которого явились результаты описанных выше мероприятий.
	ЮУрГУ–10.05.05.2017.350.ПЗВКР	Лист
		26

---

ТЕОРЕТИЧЕСКОЕ ОБОСНОВАНИЕ ВЫБОРА СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ Обзор возможных методов устранения уязвимостей Важным этапом работы по созданию комплексной системы защиты информации является определение и анализ имеющихся мер, методов и средств, направленных на устранение выявленных у объектов защиты угроз и уязвимостей. На данном этапе работы необходимо определить наиболее эффективные пути решения поставленных задач. Угрозы связанные с нарушением свойства информации Разглашение, копирование, хищение информации ограниченного доступа Данный тип угрозы реализуется посредством акустического, оптического и материального каналов утечки информации. Уязвимости, приводящие к возможной реализации данной угрозы: - нарушение соглашения о неразглашении коммерческой тайны; - несанкционированное проникновение в помещение; - отсутствие режима коммерческой тайны. Установленные уязвимости возможно устранить благодаря разработке организационно-распорядительной документации, включающей в себя: положение о режиме коммерческой тайны, перечень сведений, составляющих коммерческую тайну, приказы об их утверждении. Для наилучшей эффективности устранения данных уязвимостей, необходимо провести беседу с сотрудниками организации, работающими с информацией ограниченного доступа с целью доведения требований по работе с ней и ответственности за её разглашение.
	ЮУрГУ–10.05.05.2017.350.ПЗВКР	Лист
		27

2.2.2. Уничтожение, модификация, блокировка носителей информации, АРМ сотрудников, серверного оборудования К данному типу угроз относятся следующие уязвимости: - несанкционированное проникновение в помещение; - отсутствие мероприятий по повышению информационной грамотности; - отсутствие инструкции по работе с АРМ и серверным оборудованием, обрабатывающим коммерческую тайну; - отсутствие учета носителей, содержащих коммерческую тайну; - отсутствие пломбирования корпуса АРМ. В качестве решения по устранению данных уязвимостей, необходимо выполнение ряда мероприятий. Во-первых, необходимо установить средство контроля и управления доступом. Данное средство позволит организовать пропускной режим, благодаря которому ограничим доступ сотрудникам, не имеющим доступ к защищаемой информации. Во-вторых, необходимо через определённый промежуток времени проводить мероприятия по повышению информационной грамотности. Проводимые мероприятия позволят улучшить владение приемами поиска, сбора, обработки, анализа и синтеза необходимой информации. В-третьих, необходима инструкция по работе с АРМ и серверным оборудованием. В рамках данной дипломной работы, разработка данной инструкции не требуется. В-четвёртых, нанести на материальные носители, содержащие информацию, составляющую коммерческую тайну, грифа "Коммерческая тайна" с указанием обладателя такой информации. Учет носителей позволит в любое время определить, у кого находиться тот или иной документ, содержащий информацию ограниченного доступа. В-пятых, произвести опломбировку системных блоков АРМ сотрудников и сервера, а также назначение ответственного за сохранность пломб. Данный способ позволит исключить физическое несанкционированное взаимодействие с носителями, содержащими коммерческую тайну.
	ЮУрГУ–10.05.05.2017.350.ПЗВКР	Лист
		28

---

2.3. Угрозы, связанные с НСД В связи со стремительным развитием информационных технологий, большое количество организаций занимается обработкой информации ограниченного доступа в рамках своей информационной системы. В результате, в условиях высокой конкурентности, возрастает интерес сторонних компаний к информации ограниченного доступа своих конкурентов. Несанкционированный доступ, служит одним из методов для получения сторонними организациями информации ограниченного доступа. Несанкционированный доступ представляет собой противоправное действие, в результате которого злоумышленник получает доступ к защищаемой информации для сторонних лиц. На основании предпроектного обследования, в рамках данной ВКР были установлены следующие угрозы, связанные с несанкционированным доступом: - несанкционированный доступ к АРМ сотрудников; - угрозы несанкционированного доступа по каналам связи. 2.3.1. Несанкционированный доступ к АРМ сотрудников Угроза несанкционированного доступа к АРМ сотрудников может быть реализована посредством следующих уязвимостей: - отсутствие пломбирования корпуса АРМ; - отсутствие регламента доступа к АРМ; - отсутствие видеонаблюдения; - отсутствие средств защиты от НСД. Способ устранения первой уязвимости представлен в пункте 2.3. В качестве решения второй проблемы можно разработать матрицу доступа, в которой будет содержаться список лиц, допущенных к АРМ на которых обрабатывается информация ограниченного доступа. В рамках данной ВКР, разработка матрицы доступа не требуется. Третью уязвимость можно устранить посредством внедрения на
	ЮУрГУ–10.05.05.2017.350.ПЗВКР	Лист
		29

---

Смотрите также файлы

• Тема 1 Виды и характеристики строительных машин.docx

• Лекция по дисциплине Метрология, стандартизация и сертификация Задание для студентов.ppt

• Ледокол Иосиф Сталин.docx

• Продемонстрировать этапы ассистенции при наложении акушерских щипцов (на фантоме). 1этап.docx

• Имеет ли laravel поддержку шаблонизатора blade.docx