Файл: Назначение и структура системы защиты информации коммерческого предприятия (Разработка модели деятельности).pdf

- протоколы сетевого и межсетевого взаимодействия; - системы бесперебойного питания серверов и АРМ; - персонал;

- средства ввода-вывода и отображения информации:

- мониторы;

- периферийные устройства;

- линии и средства связи, системы обеспечения функционирования СВТ и деятельности организации:

- линии электропитания;

- телефонные линии связи;

- линии охранной и пожарной сигнализации;

- линии локальной компьютерной сети; - носители информации:

- бумажные носители; - сотрудники организации;

- флеш-накопители.

1.6 Определение класса защищенности ИС

В соответствии с руководящим документом «Автоматизированные системы.

Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» (утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г.) и «Специальными требованиями и рекомендациями по технической защите конфиденциальной информации» (Утверждены приказом Гостехкомиссии России от 02.03.2001 № 282), которые носят рекомендательный характер, необходимо определить класс защищенности исходной информационной системы.

Так как на предприятии одновременно обрабатывается и храниться информация разных уровней конфиденциальности и не все пользователи имеют доступ ко всей информации ИС, то классом защищенности ИС на предприятии ООО «Планета-Авто» можно считать 1Г.

1.7 Разработка модели угроз и уязвимостей для важных объектов защиты

Так как утвержденной модели угроз и уязвимостей для режима коммерческой тайны нет, то в рамках курсовой рекомендуется использовать «Базовую модель угрозрого была составлена модель угроз и уязвимостей, представленная в таблице 3. Но безопасности персональных данных при их обработке в ИСПДн» (Утверждена ФСТЭК от 15.02.2008) и «Специальные требования и рекомендации по техниче-сперва, для выявления наиболее значимых угроз ИБ организации нужно выделить объекты защиты информации относительно коммерческой тайны, ими являются:

- персонал;

- сервера организации;

- АРМ сотрудников, которые обрабатывают сведения, составляющие коммерческую тайну;

- носители информации.

На основе выделенных объектов защиты информации выявим наиболее значимые угрозы ИБ. Их перечень представлен в Таблице 3.

Таблица 3 - Модель угроз и уязвимостей

1.8 Расчет рисков важных объектов защиты

Расчет рисков необходим для выявления наиболее вероятных угроз для объекта информации и уязвимостей, через которые они могут быть реализованы. Это один из важнейших этапов ЗИ в организации.

Для расчета рисков важных объектов, была использована методика оценки риска ГРИФ 2006 из состава Digital Security Office.

Необходимо провести анализ всех угрозы, действующие на ИС и их уязвимостей, чтобы оценить риск важных объектов защиты. На основе модели угроз и уязвимостей, требуется проанализировать вероятность реализации угроз ИБ на каждый ресурс и рассчитать риски.

Для использования данной методики необходимы входные данные:

- ресурсы ИС;

- критичность ресурсов

- отделы, к которым относятся ресурсы;

- угрозы, действующие на ресурсы;

- уязвимости;

- вероятность реализации угрозы через данную уязвимость;

- критичность реализации угрозы через данную уязвимость.

Алгоритм расчета рисков выглядит следующим образом:

1. На первом этапе рассчитывается уровень угрозы по уязвимости Th на основе критичности и вероятности реализации угрозы через данную уязвимость по формуле (1). Уровень угрозы показывает, насколько критичным является воздействие данной угрозы на ресурс с учетом вероятности ее реализации.

, (1)

где ER - критичность реализации угрозы (указывается в %);

P(V) - вероятность реализации угрозы через данную уязвимость (указывается в %).

Полученное значение уровня угрозы по уязвимости лежит в интервале от 0 до 1.

2. Для расчета уровня угрозы по всем уязвимостям CTh, через которые возможна реализация данной угрозы на ресурсе используется формула (2).

, (2)

где Th - уровень угрозы по уязвимости.

Значение уровня угрозы по всем уязвимостям лежит в интервале от 0 до 1.

3. Аналогично рассчитывается общий уровень угроз по ресурсу CThR (учитывая все угрозы, действующие на ресурс) по формуле (3).

, (3)

где CTh - уровень угрозы по всем уязвимостям.

Значение общего уровня угрозы лежит в интервале от 0 до 1.

4. Риск по ресурсу R рассчитывается в соответствии с формулой (4):

, (4)

где D - критичность ресурса (задается в деньгах); CThR - общий уровень угроз по ресурсу.

На основе применения данного алгоритма было получено значение вероятности реализации угрозы и критичности реализации угрозы через уязвимости. Результаты представлены в Таблице 4.

Таблица 4 – Расчет вероятности и критичности реализации угроз

Продолжение таблицы 4

На основе полученных данных и воспользовавшись формулой (2) рассчитываем уровень угрозы по уязвимости. Полученные значения представлены в Таблице 5.

Таблица 5 – Уровень угрозы

Продолжение таблицы 5

На основе полученного значения уровня угроз и формулы (3) рассчитывается общий уровень угроз, который приведен в Таблице 6.

Таблица 6 – Общий уровень угроз

Продолжение таблицы 6

1.9 Разработка технического задания на разработку КСЗИ

В результате проведенной работы возникла необходимость разработки технического задания по внедрению КСЗИ в ООО «Планета-Авто».

Основой для написания ТЗ является ГОСТ 34.602-1989 «Техническое задание на создание автоматизированной системы», содержащий следующие разделы:

1) общие сведения.

2) назначение и цели разработки КСЗИ;

3) характеристика объектов защиты;

4) требования к КСЗИ;

5) состав и содержание работ по внедрению КСЗИ;

6) порядок контроля и приемки системы;

7) требования к составу и содержанию работ по подготовке объекта защиты к вводу КСЗИ в действие;

8) требования к документированию;

9) источники разработки

Вывод по первой главе

В первой главе был проведен анализ системы защиты информации в ООО “Планета-Авто”. В ходе исследования был разработан паспорт предприятия с точки зрения информационной безопасности. Объектом защищаемой информации был выбран ИТ отдел ООО «Планета-Авто». Была построена модель деятельности данного объекта и, на основании которой, выявлена информация ограниченного доступа, обрабатываемая в ИТ отделе – сведения, составляющие коммерческую тайну. Также было составлено «Положение о коммерческой тайне» и «Перечень сведений, составляющих коммерческую тайну». Разработана модель угроз и уязвимостей в ООО «Планета-Авто» и проведен анализ рисков по всем выявленным ресурсам и определен класс защищенности информационной системы в соответствии с руководящими документами. Наиболее актуальным оказались риски, связанные с персоналом.

Итогом первой главы является разработанное техническое задание по внедрению КСЗИ в ООО «Планета-Авто».

2. ТЕОРЕТИЧЕСКОЕ ОБОСНОВАНИЕ ВЫБОРАНЫХ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ

2.1 Обзор возможных методов устранения уязвимостей