Файл: «Разработка концепции и структуры построения системы управления инцидентами информационной безопасности в организации».pdf

Рассмотрев структуру информационной системы ООО «ССК», можно сделать выводы:

• автоматизированная система медицинского учреждения «ССК» содержит персональные данные, относящиеся к классу К1;
• обработка персональных данных осуществляется как в автоматизированной, так и в неавтоматизированной форме;
• в работе организации используются технологии электронного документооборота, включающего информацию, содержащую персональные данные;
• в качестве электронных хранилищ персональных данных выступают: файловые хранилища сервера в виде электронных документов, а также баз данных;
• персональные данные также хранятся на бумажных носителях (данные пациентов, история болезни, данные сотрудников, данные о проведенном медицинском вмешательстве).

2.3. Анализ системы информационной безопасности ООО «ССК»

Организационные меры защиты информации в ООО «ССК» включают в себя:

• документационное оформление процессов защиты информации;
• организацию пропускного и внутриобъектового режима;
• организацию защиты от несанкционированного доступа.

В целях обеспечения безопасности информационной системы «ССК» принимаются меры правового, организационного и технического.

Организационные меры защиты – это меры административного, управленческого характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить реализацию угроз безопасности (минимизировать размер ущерба в случае их реализации).

В соответствии со сформулированными угрозами, в подразделениях ООО «ССК» были приняты организационные меры, определенные в локальных документах, перечень которых приведен в таблице 2.4. Каждому из типов угроз сопоставлено технологическое решение, подкрепленное документационным обеспечением.

Таким образом, в подразделениях ООО «ССК» проведено документационное обеспечение противодействию угрозам конфиденциальности информации при её обработке в автоматизированный информационной системе.

Таблица 2.5. - Документационное обеспечение защиты конфиденциальной информации

В таблице 2.5 приведено распределение обязанностей по специалистам в области защиты конфиденциальности информации в подразделениях ООО «ССК».

Таблица 2.6. - Функциональные обязанности специалистов в области защиты конфиденциальной информации в подразделениях ООО «ССК»

Для ознакомления пользователей с требованиями защиты информации под роспись предлагаются следующие документы:

1. Временная инструкция по авторизации пользователей информационной системы ООО «ССК»
2. Памятка пользователям информационной системы ООО «ССК» по вопросам информационной безопасности.
3. Памятка руководителям структурных подразделений ООО «ССК» по вопросам информационной безопасности.
4. Инструкция о порядке учёта, хранения и обращения машинных носителей информации в подразделениях ООО «ССК».
5. Положение о порядке работы с документами, содержащими информацию конфиденциального характера в подразделениях ООО «ССК».
6. Положение о работе с персональными данными работников в подразделениях ООО «ССК».
7. Положение о порядке отнесения информации в подразделениях ООО «ССК» к конфиденциальной.
8. Реестр документов, образующихся в деятельности в подразделениях ООО «ССК», относящихся к утвержденному перечню сведений конфиденциального характера.

При приеме на работу специалист, выполняющий работу с конфиденциальными данными, подписывает «Обязательство о неразглашении».

Перечень документов, регламентирующих деятельность частной клиники в области защиты персональных данных, приведен в таблице 2.6.

Таблица 2.7. - Перечень документов, регламентирующих деятельность ООО «ССК» в области персональных данных

2.4. Общая характеристика существующей системы защиты персональных данных «ССК»

Как было показано выше, технология работы с персональными данными категории К3 и выше предполагает обеспечение физической защиты помещений, где производится обработка персональных данных, обеспечение учета и сохранности носителей персональных данных, сертификацию используемого программного обеспечения, документационное обеспечение технологии обработки персональных данных.

Программное обеспечение, в котором производится обработка персональных данных, должно иметь достаточный уровень защиты от несанкционированного доступа, включая систему разграничения доступа, а также систему аутентификации пользователей. Разграничение доступа выполняется пользователями, имеющими права администраторов с использованием средств программного обеспечения.

Рассмотрим существующую технологию идентификации и аутентификации пользователей в информационной системе ООО «ССК».

В таблице 2.8. приведено описание технологии авторизации пользователей ООО «ССК».

При анализе аутентификации и идентификации пользователей в информационной системе «ССК», мною были обнаружены следующие уязвимости:

• наличие прав администраторов у пользователей, не имеющих причастности к техническим, либо к вопросам администрирования баз данных или приложений.
• многофакторная аутентификация. Пользователь вынужден вводить множество паролей для авторизации в каждой из используемых программ;
• отсутствие контроля сроков действия паролей;
• отсутствие контролей сложности паролей;
• отсутствие контроля оборота парольной документации;
• возможность авторизации пользователей на АРМ, где не предусмотрена их технология работы;
• не отключена учетная запись Гостя;
• доменные имена и учетные записи пользователей не формализованы;
• отсутствие усиленной авторизации на серверах.

Таким образом, в условиях ООО «ССК» хоть и присутствует система разграничения доступа и аутентификации пользователей в программных продуктах, где производится обработка персональных данных, но ее работу нельзя признать эффективной, так как не обеспечивается полномерное выполнение задач, для которых она предназначена. Система защиты персональных данных в программных комплексах ООО «ССК» является достаточно уязвимой перед нарушителями – инсайдерами, нарушителями – сторонними пользователями и необходимо принятие мер по совершенствованию технологии разграничения доступа и идентификации.

Организационная составляющая защиты персональных данных в условиях рассматриваемой организации должна включать в себя:

• организацию хранения носителей персональных данных;
• организацию физической защиты помещений, где обрабатываются персональные данные с оформлением акта обследования помещений.

В условиях ООО «ССК» отмечены следующие уязвимости организационной составляющей защиты персональных данных:

• отсутствие учета носителей информации;
• допускается хранение информации, содержащей персональные данные, на локальных дисках рабочих станциях пользователей;
• требования к физической защите персональных данных выполнены частично (помещения оборудованы камерами видеонаблюдения, присутствует система сигнализации), но при этом нет приказа о доступе специалистов в данные помещения.

3. Проектная часть

3.1. Исходные данные

Целью проектирования в рамках данной дипломной работы является разработка системы мероприятий по совершенствованию информационной безопасности частной стоматологической клиники