Файл: «Разработка концепции и структуры построения системы управления инцидентами информационной безопасности в организации».pdf

Таким образом, угроза несанкционированного копирования персональных данных на неучтенные носители информации может быть минимизирована при проведении настройки антивирусных программных средств.

3.5.Совершенствование системы антивирусной защиты

Для устранения недостатков системы антивирусной защиты в рамках работы над проектом мной был предложен ряд мер, связанных с совершенствованием системы антивирусной защиты, приведенный в таблице 3.1.

Совершенствование системы антивирусной защиты предлагается в следующих направлениях:

• оптимизация архитектуры с использованием существующего решения на базе Kaspersky EndPoint Security;
• внедрение решений на основе дополнительного антивирусного программного решения;
• внедрение системы комплексной защиты информации, что позволит предотвратить активность вредоносного ПО и оптимизировать ресурсы информационной системы в части защиты информации.

Таблица 3.1. - Меры по совершенствованию системы антивирусной защиты в условиях медицинского учреждения

Предлагаемая система использования выделенной рабочей станции для проверки внешних носителей информации приведена на рисунке 3.11.

Рис. 3.11. Система использования выделенной рабочей станции для проверки внешних носителей информации

В рамках предлагаемого варианта, все внешние носители информации проходят проверку на выделенной рабочей станции с установленным ПО DrWeb, после чего пользователь выбирает необходимые ему для работы файлы и по протоколу FTP копирует их на выделенный сетевой ресурс в локальной сети информационной системы медицинского учреждения. рабочая станция для проверки внешних носителей не включена в домен, не имеет подключенных сетевых дисков, имеет связь с остальными ресурсами сети только по FTP, каталоги которого на сервере проверяются средствами Kaspersky EndPoint Security, что минимизирует вероятность вирусного заражения с данного компьютера. Кроме того, предлагается рассмотреть вопрос о возможности автоматического копирования на FTP-сервер файлов только с определенными расширениями (*.doc, *.docx, *.xls, *xlsx, *.odt, *.odf, *.xml и т.п.) с использованием специального сканирующего ПО, что позволит не обращаться к потенциально заражаемым объектам.

Таким образом, использование двух антивирусов в информационной системе не приведет к дополнительной нагрузке на вычислительные ресурсы, и, в то же время, исключит вероятность заражения вредоносным ПО, не включенным в сигнатуры одного из антивирусов. Блокировка USB-портов для использования внешних носителей также повысит общую защищенность системы.

Тем не менее, при проектировании системы информационной безопасности, мы должны, в первую очередь, обратить внимание на внутренние проблемы, а именно – любые уязвимости так или иначе связанные с сотрудниками. Для минимизации урона от подобных угроз необходимо использовать не только технические средства разграничения доступа, но и вводить внутренние регламенты по регуляции действий сотрудников. Несмотря на это, если у сотрудника или стороннего злоумышленника имеется умысел на несанкционированное получение персональных данных, то большинство предпринимаемых технологических и организационных мер будут малоэффективными и, для защиты от злоумышленников такого типа, необходимо использовать особый порядок пропускного режима, упорядочивать доступ к помещениям, где обрабатываются персональные данные, принимать ряда мер по обеспечению физической защиты информации.

Таким образом, сформулированные в рамках данной работы уязвимости информационной безопасности в условиях частной стоматологической клиники, могут быть минимизированы при использовании электронных ключей, СЗИ «Аура», антивирусного ПО и внутренних регламентов ИБ.

Заключение

Политика информационной безопасности в информационных системах предприятий имеет множество аспектов, которые необходимо рассматривать исключительно в совокупности из-за их частичной взаимной зависимости и общей комплексности понятия информационная безопасность.

В рамках данной работы рассмотрена системы защиты персональных данных в условиях информационной системы частной стоматологической клиники ООО «ССК».

В ходе работы над проектом был проведен анализ архитектуры системы информационной безопасности частной стоматологической клиники. Показано, что система защиты персональных данных включает в себя организационные и технологические решения. Пренебрежение какой-либо из компонент комплексной системы защиты информации повышает уязвимость информационной системы в целом. Аудит информационной системы показал, что существующая система персональных данных относится к классам К1 и К3, и требования к защите системы должны соответствовать данным стандартам.

Был проведен анализ системы защиты персональных данных в условиях информационной системы частной стоматологической клиники. Показано, что в существующей системе технология работы с ПДн хоть и является удовлетворительной, но отмечаются системные проблемы, связанные с наличием ряда уязвимостей. Первая группа уязвимостей связана с отсутствием специализированного отдела ИБ внутри компании. Вторая группа уязвимостей связана с отсутствием системного подхода в системе разграничения доступа пользователей. Показано, что у некоторых пользователей наблюдается превышение уровня допустимого доступа. Третья группа уязвимостей связана с отсутствием контроля обращения внешних носителей информации, что дает возможность несанкционированного копирования персональных данных, не контролируется работа рабочих станций, работающих с персональными данными. Существует ряд проблем, связанных с работой пользователей в программных комплексах: нарушения режима хранения паролей, отсутствует контроль сроков смены паролей, а также их сложности, не отключены встроенные локальные учетные записи. Все перечисленные недостатки, в сумме, повышают уязвимость системы защиты персональных данных частной клиники.

В качестве мер совершенствования системы защиты персональных данных были предложены:

• создание специализированного отдела ИБ
• использование электронных ключей eToken, что позволит решить проблемы многофакторной аутентификации, а также даст дополнительную возможность по разграничению доступа;
• использование системы СЗИ «Аура 1.2.4» для совершенствования системы информационной безопасности;
• настройка антивирусных систем для отключения возможности копирования информации на неучтенные носители.

Список использованных источников

Печатные источники

1. Konheim Alan G., Computer Security and Cryptography, 1st ed., Wiley-Interscience, February, 2007
2. Гафнер, В. В. Информационная безопасность: Учебное пособие / В. В. Гафнер. — Рн/Д: Феникс, 2010.
3. Грибунин В.Г., Чудовский В.В. Комплексная система защиты информации на предприятии. – М.: Академия, 2009.
4. Демин, Ю.М. Делопроизводство, подготовка служебных документов - СПб, 2003.
5. Завгородний В.И. Комплексная защита в компьютерных системах: Учебное пособие. – М.: Логос; ПБОЮЛ Н.А.Егоров, 2001.
6. Комплексная система защиты информации на предприятии. Часть 1. – М.: Московская Финансово-Юридическая Академия, 2008.
7. Малюк А.А, Пазизин С.В, Погожин Н.С. Введение в защиту информации в автоматизированных системах. – М.: Горячая Линия - Телеком, 2011.
8. Степанов Е.А., Корнеев И.К., Информационная безопасность и защита информации. Учебное пособие, Издательство «Инфра-М», 2001
9. Федоров А. В. Проектирование информационных систем. М.: Финансы и статистика, 2003.
10. Хорев П.Б. Методы и средства защиты информации в компьютерных системах. – М.: Академия, 2008.
11. Хорев П.Б. Программно-аппаратная защита информации. – М.: Форум, 2009.
12. Хорошко В.А., Чекатков А.А./ Под ред. Ю.С.Ковтанюка, «Методы и средства защиты информации», Издательство «Юниор», 2003
13. Шаньгин В.Ф. Комплексная защита информации в корпоративных системах. – М.: Форум, Инфра-М, 2010.

Электронные источники

1. Приказ ФСТЭК №21 от 18 февраля 2013 «Об утверждении состава и содержании организационных и технических мер по обеспечению безопасности про их обработке в информационных системах персональных данных» - URL: http://fstec.ru/normotvorcheskaya/akty/53-prikazy/691-prikaz-fstek-rossii-ot-18-fevralya-2013-g-n-21
2. Приказ ФСТЭК №17 от 11 февраля 2013 г. N 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, в государственных информационных сетях» - URL: http://fstec.ru/normotvorcheskaya/akty/53-prikazy/702-prikaz-fstek-rossii-ot-11-fevralya-2013-g-n-17
3. ФЗ №152 от 27.07.2006 (ред. от 21.07.2014) "О персональных данных" (с изм. и доп., вступ. в силу с 01.09.2015) – URL: https://www.consultant.ru/document/cons_doc_LAW_61801/
4. ФЗ №149 от 27.07.2006 (ред. от 13.07.2015) «Об информации, информационных технологиях и о защите информации» (с изм. и доп., вступ. в силу с 10.01.2016) – URL: https://www.consultant.ru/document/cons_doc_LAW_61798/
5. Гражданский Кодекс РФ, Часть 4, Статья 1261 – URL: http://www.consultant.ru/document/cons_doc_LAW_64629/ce1359ed5b9bd99896d7a496c7887e7c223a2cbc/
6. Постановление Правительства РФ от 01.11.2012 №1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" – URL: http://www.consultant.ru/document/cons_doc_LAW_137356/
7. ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения» - URL: http://vsegost.com/Catalog/57/5737.shtml
8. ФЗ №63 от 06.04.2011 (ред. от 30.12.2015) "Об электронной подписи" – URL: https://www.consultant.ru/document/cons_doc_LAW_112701/
9. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (выписка). ФСТЭК России, 2008 год – URL: http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/379-bazovaya-model-ugroz-bezopasnosti-personalnykh-dannykh-pri-ikh-obrabotke-v-informatsionnykh-sistemakh-personalnykh-dannykh-vypiska-fstek-rossii-2008-god
10. Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. ФСТЭК России, 2008 год – URL: http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/380-metodika-opredeleniya-aktualnykh-ugroz-bezopasnosti-personalnykh-dannykh-pri-ikh-obrabotke-v-informatsionnykh-sistemakh-personalnykh-dannykh-fstek-rossii-2008-god
11. Указ Президента РФ от 6 марта 1997 г. N 188 "Об утверждении перечня сведений конфиденциального характера" (с изменениями и дополнениями) – URL: http://base.garant.ru/10200083/
12. Приказ ФСБ России №66 от 9 февраля 2005 г. «Об утверждении положения о разработке, производстве, реализации и эксплуатации шифровальных(криптографических) средств защиты информации(Положение ПКЗ-2005)» - URL: https://www.infotecs.ru/laws/detail.php?ID=1819
13. Приказ ФСБ России №378 от 10 июля 2014 г. «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использование криптографической защиты информации, необходимых для выполнения установленных Правительство Российской Федерации требований к защите персональных данных для каждого из уровней защищенности» - URL: https://www.consultant.ru/document/cons_doc_LAW_167862/
14. База данных российского разработчика и поставщика средств продуктов и решений по информационной безопасности «Алладин Р.Д.» - URL: http://kbp.aladdin-rd.ru