Приложение Б

Пример отчета о результатах защищенности информации в информационной системе

УТВЕРЖДАЮ

Начальник отдела информационной безопасности “Дом управление”

___________________ Б.П. Редькин

м.п.

«___»_____________ 2017 г.

Отчет

о результатах анализа защищенности информации в информационной системе компании “Дом управление”.

СОГЛАСОВАНО

___________________________________

_______________________

«___»_____________ 2017 г.

Хабаровск – 2017

Анализу защищенности информации подвергалась ИС компании “Дом управление” при помощи различных методов поиска уязвимостей. Анализ защищенности информации был проведен в период с 1.05.2017 г. По 14.05.2017 г. экспертной комиссией в составе: главный специалист-эксперт инженерного отдела Петров М.А., инженер 2 категории Сидоров С.Е., специалист по обеспечению защиты информации Григорьева А.В. . Информационная система предназначена для хранения, поиска и обработки информации.

В ходе анализа были определены следующие исходные данные:

1. Выполняемые функции ИС

ИС компании выполняет несколько функций:

Справочные – дают возможность пользователям узнавать необходимые классы объектов (литература, номера телефонов, адреса и т.д.);

Расчетные – выполняют обработку информации по установленным расчетным алгоритмам;

1. Структурно-функциональные характеристики ИС

В таблице Б.1 представлены Структурно-функциональные характеристики ИС, относящиеся к компании “Дом управление”.

Таблица Б.1– Структурно-функциональные характеристики ИС

По структуре ИС	– локальная ИС.
По используемым ИТ	– системы на основе виртуализации; – системы, реализующие «облачные вычисления».
Окончание таблицы Б.1
По архитектуре информационной системы	– файл-серверные системы.
По наличию (отсутствию) взаимосвязей с иными информационными системами	– невзаимодействующая с системами.
По наличию (отсутствию) взаимосвязей (подключений)	– подключенная через выделенную инфраструктуру.
По размещению технических средств:	– расположенные в пределах одной контролируемой зоны.
По режимам обработки информации в ИС	– однопользовательский.
По режимам разграничения прав доступа	– с разграничением.
По режимам разделения функций по управлению информационной системой	– без разделения.
По подходам к сегментированию ИС	– с сегментированием.

1. Степень конфиденциальности обрабатываемой информации в ИС

Компания обрабатывает ПДн клиентов и работников, а также коммерческую тайну.

1. Состав ИС

а) схема размещения компонентов ИС

На схеме представлен инженерный отдел, в котором расположено 10 АРМ, стационарный телефон, принтер, пожарная и охранная сигнализации.

На рисунке Б.1 представлена схема размещения компонентов ИС, на которой указаны объекты ОТСС и ВТСС.

Рисунок Б.1 – Схема размещения компонентов ИС в инженерном отделе

б) перечень прикладного ПО, используемого в ИС

В таблице Б.2 содержится полный список отделов организации и АРМ. Для каждого АРМ представлен состав прикладного ПО.

Таблица Б.2 – Перечень прикладного ПО, используемого в ИС

Название отдела	Название АРМ	Состав прикладного ПО
Инженерный отдел	АРМ №1	MS Word, MS Excel, Adobe Reader, MS SQL Server
…	…	…
Бухгалтерия	АРМ начальника отдела	MS Word, MS Excel, Adobe Reader, 1С:Бухгалтерия
…	…	…

в) взаимодействие с иными ИС

ИС компании “Дом управление” (инженерный отдел и бухгалтерия) взаимодействует с ИС компании “Строй сервис” (бухгалтерия) через сеть Интернет посредством защищенного соединения VPN.

Схема взаимодействия представлена на рисунке Б.2, где указаны отделы, имеющие доступ в сеть Интернет и взаимодействующие с иной ИС.

Рисунок Б.2 – Схема взаимодействия информационных систем

г) состав технических и программных средств защиты информации ИС

В таблице Б.3 содержится полный список отделов организации и АРМ. Для каждого АРМ представлен состав программных и технических средств ЗИ.

Таблица Б.3 – Состава средств защиты информации в ИС

Название отдела	Название АРМ	Средства защиты информации
Инженерный отдел	АРМ №1	“Соната-ВК3” по линиям компьютерных сетей; система защиты информации “Dallas Lock 7.7”
…	…	…
Бухгалтерия	АРМ начальника отдела	“Соната-ВК3” по линиям компьютерных сетей; система защиты информации “Dallas Lock 7.7”
…	…	…

Сертификаты соответствия используемых средств защиты:

– “Соната-ВК3” по линиям компьютерных сетей – сертификат ФСТЭК России №2533/1 до 09.11.2018 г.

– Система защиты информации “Dallas Lock” – сертификат ФСТЭК России № 2209 до 19.11.2019 г.

1. Результаты анализа событий безопасности в ИС

Экспертной группой (в составе: главный специалист-эксперт инженерного отдела Петров М.А., инженер второй категории Сидоров С.Е., специалист по обеспечению защиты информации Григорьева А.В.) были проанализированы журналы событий безопасности на наличие инцидентов (уязвимостей) в ИС. Были установлены инциденты, приведенные в таблице Б.4. Так как, попытка проведения действий на указанных АРМ была для пользователя безуспешной, то следующие инциденты за уязвимости ИС не воспринимаются.

Проведено инструктивное занятие по доведению пользователям прав и привилегий по доступу к информационным ресурсам.

Таблица Б.4 – Список инцидентов из журнала событий безопасности

Название отдела	Наименование АРМ	Название инцидента	Дата события
Инженерный отдел	АРМ №1	Попытка доступа к закрытому каталогу	1.05.2017 г.
…	…	…
Бухгалтерия	АРМ начальника отдела	Попытка доступа к незащищенному ресурсу	2.02.2017 г. 6.08.2017 г.
…	…	…

1. Результаты поиска уязвимостей ПО в ИС

Экспертной группой (в составе: главный специалист-эксперт инженерного отдела Петров М.А., инженер второй категории Сидоров С.Е., специалист по обеспечению защиты информации Григорьева А.В. ) были проведены мероприятия по поиску уязвимостей в прикладном ПО и средствах защиты информации.

В прикладном ПО “Учет жилья” и “Справки жилого фонда” был произведен поиск уязвимостей по методу ручного поиска, в соответствии с методическими рекомендациями по анализу защищенности информации в ИС. Уязвимости не выявлены.

При поиске уязвимостей в средствах защиты информации, используемом в ИС (“Dallas Lock 7.7”), было произведено обращение к общедоступному источнику “Банк данных угроз безопасности информации” ФСТЭК России. Во вкладке уязвимости, в разделе список уязвимостей, содержатся все найденные уязвимости сертифицированных средств защиты информации. После введения в строку поиска названия средства защиты, используемом в ИС компании, уязвимости не были указаны.

1. Результаты анализа защищенности внутреннего и внешнего периметра сети ИС

Путем имитации действий внутреннего нарушителя с использованием программы Wireshark была произведена успешная попытка сканирования трафика сети. Результатом этого является уязвимость неправильной настройки сетевого оборудования, из-за которой существует возможность перехвата злоумышленником информации, содержащей коммерческую тайну компании.

После обнаружения уязвимости была произведена перепроверка и перенастройка сетевого оборудования ИС. При новой имитации действий внутреннего нарушителя с использованием программы Wireshark, сканирование трафика сети не удалось. Таким образом, уязвимость устранена.

1. Результаты анализа защищенности информации с использованием инструментальных средств контроля защищенности информации от НСД к информации

При анализе защищенности информации в ИС была использована программа контроля полномочий доступа к информационным ресурсам "Ревизор сети" версия 3.0. После сканирования этой программой (рисунок Б.3) были выявлены две категории уязвимостей в АРМ-1:

Первая категория – уязвимость, включает:

– возможно получение списка обзора через нуль-сессию;

– возможно получение списка общих ресурсов;

– возможно получение списка служб с использованием нуль-сессии;

– множественные уязвимости в Outlook Express;

– пользователь Администратор имеет право на запись в общие папки;

– разрешен гостевой вход в систему;

– разрешено использование нуль-сессии.

Вторая категория – серьезная уязвимость, включает:

– для пользователя установлен пустой пароль;

– обнаружено нежелательное ПО;

– удалось подобрать пароль пользователя;

– уязвимость в службе Plug and Play может позволить удаленное выполнение кода и повышение привилегий.

После обнаружения уязвимостей были произведены действия по устранению:

– запрещено использование нуль-сессии;

– настроены правила разграничения доступа;

– настроен вход в систему, с использованием логина и пароля;

– удалено ПО не разрешенное к использованию в ИС.

Повторное сканирование не выявило уязвимостей.

Рисунок Б.3 – Фрагмент (скриншот) программы "Ревизор сети" с информацией об уязвимостях конкретного узла сети (АРМ)

1. Соответствие требованиям ФСТЭК Росии

В ходе проведения мероприятий анализа защищенности информации в ИС, была произведена итоговая проверка в соответствии с требованиями ФСТЭК России :

– контроль установки обновлений ПО, включая ПО средств защиты информации – проводится регулярно в соответствии с “правилами и процедурами защиты информации в ИС”;

– контроль работоспособности, параметров настройки и правильности функционирования ПО и средств ЗИ – были проверены и соответствуют требованиям;

– контроль состава технических средств, ПО и средств ЗИ – был произведен согласно п. 1.5 и п. 1.7 методических рекомендаций проведения анализа защищенности информации в ИС ;

– контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей в ИС – производится регулярно.

Заключение

По результатам контроля эффективности защиты информации экспертная комиссия подтверждает, что необходимый уровень защищенности информации соответствующий 2 классу защищенности информации в информационной системе обеспечивается.

Главный специалист-эксперт ______________ Петров М.А.

инженерного отдела

Инженер 2 категории ______________ Сидоров С.Е.

Специалист по обеспечению ______________ Григорьева А.В.

защиты информации