Министерство транспорта Российской Федерации

Федеральное агентство железнодорожного транспорта

ФГБОУ ВО «ДАЛЬНЕВОСТОЧНЫЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ ПУТЕЙ СООБЩЕНИЯ»

Кафедра "Информационные технологии и системы"

К ЗАЩИТЕ ДОПУСТИТЬ

Заведующий кафедрой

Анисимов В.В.

" " 2016 г.

РАЗРАБОТКА ПРОФИЛЯ ЗАЩИТЫ ИНФОРМАЦИОННОЙ СИСТЕМЫ СТРОИТЕЛЬНОЙ ОРГАНИЗАЦИИ

Бакалаврская работа

БР 10.03.01 24Б ПЗ

Студент гр. 24Б	А.А. Минин
Руководитель доцент, к.ф.-м.н., доцент	Е. В. Карачанская
Нормоконтроль доцент, к.п.н., доцент	В. И. Шестухина

Хабаровск - 2016

Содержани

Введение 5

1 Обследование информационной системы организации 7

1.1 Общие сведения об ИСПДн организации 7

1.2 Сегменты организации 7

1.4 Перечень защищаемой информации 11

1.5 Техническая информация об ИСПДн 12

1.6 Порядок осуществления обработки ПДн в ИСПДн 16

1.7 Характеристика ОТСС и ВТСС 20

1.8 Существующие меры защиты информации 23

1.9 Модель вероятного нарушителя информационной безопасности 24

1.10 Определение актуальных угроз 30

1.11 Определение требуемого уровня защищённости ПДн в ИСПДн 33

2 Разработка методов и способов защиты персональных данных 35

2.1 Меры по защите персональных данных 35

2.2 Характеристики предлагаемых СрЗИ 46

2.2.1 Dallas Lock 8.0-K 48

2.2.2 XSpider 7.8.24 48

2.2.3 ESET NOD32 49

2.3 Меры по противодействию актуальным угрозам безопасности информации 50

2.4 Профиль системы защиты персональных данных 52

3 Порядок ввода СЗИ в эксплуатацию 54

3.1Установка и документирование СЗИ 55

3.2 Приемо-сдаточные испытания 56

Заключение 57

Список литературы 58

Список сокращений 60

Приложение А – Оценка актуальности угроз безопасности ПДн для строительной организации 61

Введение

Кража информации превратилась в мировую проблему, поэтому персональные данные нуждаются в надежной защите. Утечка персональных данных может привести к финансовому, экономическому, материальному, социальному, моральному ущербу. Серьезность и острота проблемы потребовали от органов государственной власти принятия конкретных мер по ее урегулированию, вследствие чего в 2007 году в России вступил в силу Федеральный закон «О персональных данных», направленный на обеспечение всех необходимых мер по защите информации, используемой коммерческими и государственными организациями. Кроме того, правовое регулирование обработки персональных данных осуществляется в соответствии с Конституцией Российской Федерации и принятых в исполнения положений Федерального закона №152 нормативно-правовых актов и методических документов.

Защита персональных данных является актуальной темой, поскольку регистрируется большое количество кибер-преступлений за последнее десятилетие. В связи с тем, часто сотрудники, ответственные за обработку персональных данных не знают правил безопасной обработки доверенной им информации. Поэтому на специалистов по информационной безопасности ложится не только ответственность за безопасность информационной системы, но сиcтема oбучения персонала.

Целью работы является разработка профиля защиты персональных данных для строительной организации.

ИСПДн организации представляет собой локальную информационную систему, состоящую из рабочих станций и серверов. ИСПДн имеет подключения к сетям связи общего пользования. Обработка ПДн производится в многопользовательском режиме с разграничением прав доступа. Технические средства ИСПДн находятся в пределах Российской Федерации. Также осуществляется взаимодействие с другими информационными системами: федеральная налоговая служба, пенсионный фонд РФ, Фонд социального страхования.

Предметом исследования является – информационная безопасность ИСПДн строительной организации.

Информационная безопасность организации – целенаправленная деятельность должностных лиц с использованием разрешенных средств и методов по достижению состояния защищенности организации, обеспечивающее ее нормальное функционирование.

Для обеспечения безопасности в информационных системах требуется защита не только аппаратных, но и программных средств системы. Программные средства являются частью информационной системы и от их безопасности зависит безопасность обрабатываемой информации. Кроме того, информационные системы разрабатываются, эксплуатируются и обслуживаются соответствующем специалистом, который имеет непосредственный доступ к системе. Таким образом, для защиты информации в ИСПДн необходимо защищать технические и программные средства, машинные носители, а также обслуживающий персонал и пользователей, которые могут быть не только объектом, но и источником несанкционированного воздействия на информацию.

В соответствии с поставленной целью, выделим следующие задачи:

• определение структуры системы защиты информации информационной системы;

• выбор средств защиты информации, сертифицированных на соответствие требованием по безопасности информации;

• определение мер защиты информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями.

1 Обследование информационной системы организации

1.1 Общие сведения об ИСПДн организации

ИСПДн строительной организации, предназначена для управления технологическими процессами работы организации, обеспечивающими учет работников, в целях обеспечения соблюдения законов и иных нормативно-правовых актов.

ИСПДн позволяет осуществлять сбор, хранение, использование и уничтожение персональных данных работников в базе данных, с целью ведения учета бухгалтерской деятельности и отдельных аспектов кадрового делопроизводства, проведения расчетов заработных плат сотрудников, формирования различных внутренних отчетов, изменения и создания первичных и отчетных документов по аспектам кадрового делопроизводства.

1.2 Сегменты организации

Персональные данные в информационной системе обрабатываются в двух сегментах: «Бухгалтерия и кадры», «ПТО и Снабжение»

Сегмент «Бухгалтерия и кадры» предназначен для ведения кадрового делопроизводства, начисления и выплаты заработной платы, ведения бухгалтерского учета и отчетности, регистрации и учета лиц, с которыми заключены договоры.

Сегмент решает задачи:

• приема сотрудника на работу;

• начисления заработной платы;

• удержания из заработной платы;

• управления персоналом;

• выплаты налоговых отчислений;

• начисления премий;

• увольнения сотрудника;

• заключения гражданско-правовых договоров.

Сегмент «ПТО и Снабжение» предназначен для оформления документации на начало строительства (приемка проектно – сметной документации от заказчика, получение разрешения на производство работ и прочее), обработка информации о заказчике, заканчивается оформление документов на сдачу объекта в эксплуатацию, а так же для управления материальными потоками в процессе обеспечения предприятия материальными ресурсами: сырьем, материалами, комплектующими, товарами. Сегмент решает задачи:

• организация строительства и реконструкции, подготовка производства.

• обеспечение своевременной сдачи объектов строительства в эксплуатацию;

• экономия средств предприятия за счет эффективного использования капитальных вложений, разработка мероприятий по сокращению затратной части СМР;

• организация ритмичной работы участков, подразделений и предприятия в целом;

• повышение организационного и технического уровня электромонтажного производства;

• согласование годовых объемов работ с заказчиками, генподрядными и субподрядными организациями;

• поиск, оценка и выявление лучших поставщиков, цен, способов доставки продуктов и услуг – задача выбора поставщика;

• соблюдение обоснованных сроков закупки сырья и комплектующих;

• обеспечение точного соответствия между количеством поставок и потребностями в них;

• соблюдение требований производства по качеству сырья и комплектующих.

Строительная компания в своей деятельности обрабатывает иные категории персональных данных. В ИСПДн строительной компании обрабатывается следующий перечень персональных данных.

Персональные данные сотрудников строительной компании:

• фамилия;

• имя;

• отчество;

• пол;

• дата рождения;

• место регистрации и фактического проживания;

• место рождения;

• сведения об образовании;

• сведения о неоконченном образовании;

• сведения о состоянии в браке;

• сведения о воинском учете;

• гражданство;

• данные о детях;

• сведения о знании языков;

• расчетный счет;

• СНИЛС;

• ИНН;

• профессия по штатному расписанию;

• табельный номер;

• должность;

• объем работы по занимаемой должности;

• подразделение;

• вид работы;

• стаж работы;

• ставка;

• тип документа, удостоверяющего личность;

• реквизиты документа, удостоверяющего личность;

• место работы;

• средний заработок;

• дата приема на работу;

• дата увольнения;

• дата выхода на пенсию;

• льготы;

• пособия.

Персональные данные юридических лиц, состоящих в договорных и иных гражданско-правовых отношениях со строительной компанией:

• фамилия представителя;

• имя представителя;

• отчество представителя;

• паспортные данные представителя;

• регистрация в качестве юридического лица или ИП;

• ИНН;

• СНИЛС;

• банковский счет;

• вид деятельности субъекта.

1.3 Параметры ИСПДн

В ходе обследования было установлено, что ИСПДн включает в себя 2 сегмента, которые взаимодействуют между собой:

• Сегмент «Бухгалтерия и Кадры»

• Сегмент «ПТО и Снабжение»

Параметры подсистем ИСПДн «Бухгалтерия и Кадры» «ПТО и Снабжение» представлены в таблице 1.3.1.

Таблица 1.3.1 – Параметры подсистемы ИСПДн

Структура информационной системы	Клиент-серверная
Подключение информационной системы к сетям общего пользования и (или) сетям международного информационного обмена	Имеется
Режим обработки персональных данных	Многопользовательский
Режим разграничения прав доступа пользователей	Система с разграничением прав доступа
Местонахождение технических средств информационной системы	Все технические средства находятся в пределах Российской Федерации
Объем обрабатываемых персональных данных	Менее чем 100 тысяч субъектов персональных данных
Категории обрабатываемых персональных данных	Иные категории персональных данных – персональные данные, не относящиеся к специальным, биометрическим и общедоступным

1.4 Перечень защищаемой информации

В ходе обследования был определен перечень ПДн, обрабатываемых в каждой подсистеме ИСПДн.