48087 (Политика информационной безопасности для ИС "Учет и графическое представление основных объектов и устройств МГ и ГРС")

МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ

УХТИНСКИЙ ГОСУДАРСТВЕННЫЙ ТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ

КАФЕДРА ИСБ

КУРСОВАЯ РАБОТА

на тему: «Политика информационной безопасности

для ИС «Учет и графическое представление основных объектов и устройств МГ и ГРС »

Выполнила:

студентка группы ИС-2-00

Шульц О.В.

Проверила:

Некучаева Н.А.

УХТА 2008

СОДЕРЖАНИЕ

ВВЕДЕНИЕ.

1. Концепция.

2. Стандарты.

   1. Структурная схема ЛВС.

   2. Информационные ресурсы (классификация объектов).

   3. Пользователи ИС (классификация субъектов).

   4. Класс безопасности.

   5. АО и ПО.

3. Управление рисками. Экономический аспект.

4. Процедуры информационной безопасности.

4.1 Законодательные меры (применимые к ИС).

4.2 Административные меры (принятые на ООО «КРГ»).

4.3 Процедурные меры.

4.3.1 Управление персоналом. ОРМ.

4.3.2 Разделение полномочий.

4.3.3 Физическая защита.

4.3.4 Поддержка работоспособности системы.

4.4 Программно-технические меры.

5. Методы информационной безопасности. Классификация угроз. Способы защиты.

6. Аварийный план.

ЗАКЛЮЧЕНИЕ

ПРИЛОЖЕНИЯ

ВВЕДЕНИЕ

На практике под информационной безопасностью систем понимается поддержание физической сохранности, целостности, доступности, конфиденциальности, достоверности и своевременности информации, а также гарантированной работоспособности средств, используемых для ввода, хранения, обработки и передачи данных.

Проблема обеспечения информационной безопасности носит комплексный характер, для ее решения необходимо сочетание законодательных, административных, организационных и программно-технических мер.

Таким образом, политика информационной безопасности предприятия – это набор формальных (официально утвержденных либо традиционно сложившихся) правил, которые регламентируют функционирование механизма информационной безопасности. Политика безопасности предприятия обеспечивается выбранным классом безопасности систем и набором организационно-распорядительных мероприятий. Следовательно, создание политики безопасности является одним из первых требований к организации как информационной безопасности предприятия в целом, так и в отдельности каждой системы, функционирующей на предприятии. Это обусловлено тем, что в настоящее время повсеместно используются электронные средства связи, процветает электронное подслушивание, хакерство, электронное мошенничество, шпионаж и т.д.

Поэтому основной целью курсового проекта является разработка политики информационной безопасности по ИС «Учет основных устройств и объектов магистрального газопровода и газораспределительной сети, задействованных в производственном процессе поставки газа потребителям» для оперативно-диспетчерской службы предприятия ООО «Комирегионгаз», и как следствие - информации и файлов, связанных с данной системой.

Разрабатываемая система предназначена для автоматизации учета и графического представления основных газотранспортных объектов (газоконденсатных месторождений, УКПГ, КС, ГРС, ГРО, Потребителей и т.д.) и устройств (датчиков/измерительных приборов, насосов, котельных, МАУ, ГОУ и т.д.) МГ и ГРС. Система предназначена для работников оперативно-диспетчерской службы предприятия и начальника службы.

Основные этапы разработки политики информационной безопасности следует проводить по следующим направлениям:

1. Рассмотрение законодательных мер;

2. Принятие административных мер на предприятии;

3. Принятие процедурных мер, а также проведение ОРМ;

4. Принятие программно-технических мер.

В работе также приводятся потенциальные угрозы безопасности данных, обрабатываемых и хранящихся в системе, и рекомендуемые способы защиты этих данных.

Описание содержания работы

1. Концепция

Безопасность информации – это состояние информации, информационных ресурсов и информационных систем, при котором с требуемой вероятностью обеспечивается защита информации (данных) от утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), копирования, блокирования информации и т.п.

Очень важным является создание политики информационной безопасности для создаваемой информационной системы с учетом уже функционирующих объектов информационного пространства организации и самой информационной сети, включая аппаратное, программное и сетевое обеспечение. Это связано с тем, что при внедрении системы в эксплуатацию, нельзя допустить нарушения созданного и поддерживаемого в организации уровня информационной защиты и, безусловно, необходимо обеспечить защиту информации для создаваемой ИС.

Поэтому была принята правовая основа политики, так как законодательный уровень предполагает разработку и внедрение в практику законодательных, подзаконных и прочих нормативных актов, регламентирующих вопросы информационной безопасности в автоматизированных системах на государственном уровне.

Организационный (управленческий) уровень предполагает разработку и контроль исполнения комплексов мер по поддержанию режима информационной безопасности конкретных автоматизированных систем. Основной задачей организационного уровня обеспечения информационной безопасности является выработка комплексной политики безопасности, организация ее эффективной реализации на объектах автоматизации. Применительно к персоналу, работающему с автоматизированными системами, политика безопасности должна обязательно содержать комплексы внутренних нормативных, организационных и операционных регуляторов, включающих в себя методы подбора и расстановки кадров, их подготовки и повышения квалификации, обеспечения дисциплины. Организационный уровень в обязательном порядке должен включать в себя меры по физической защите помещений и оборудования от угроз различной природы, а также некоторые другие.

Для поддержания режима информационной безопасности особенно важными являются программно-технические меры, основу которых составляют комплексы мероприятий по обеспечению физической сохранности данных, контролю достоверности обработки информации, защите данных от несанкционированного доступа и использования, регистрация наиболее важных с точки зрения информационной безопасности событий с целью выявления источников угрозы и т.п.

Необходимая достоверность, сохранность и защищенность информации достигается разработкой и использованием различных механизмов обеспечения достоверности и защиты при обработке данных.

Краткое описание создаваемой ИС (назначение, цели)

В рамках курсового проекта рассматривается безопасность информационной системы «Учет основных устройств и объектов МГ и ГРС». Разрабатываемая система предназначена для автоматизации учета и графического представления основных газотранспортных объектов и устройств магистрального газопровода и газораспределительной сети на местности. Целью разработки данной системы является информационное обеспечение сотрудников ОДС при принятии обоснованных объективных решений в производственном процессе реализации газа потребителям, а также устранение системных недостатков функционирующей на данный момент в диспетчерском отделе АИС «ОДС».

Цели информационной безопасности системы:

• Создание безопасного информационного пространства для функционирования ИС, как самостоятельно, так и в сотрудничестве с другими системами (в частности, ПК «Реализация газа»);

• Совершенствование информационного пространства системы в сфере действия информационной безопасности предприятия.

Задачи информационной безопасности системы:

• Рассмотрение законодательных мер;

• Принятие административных мер на предприятии;

• Применение процедурных мер, проведение организационно-распорядительных мероприятий;

• Применение программно-технических мер.

Следует также отметить и перспективы развития информационной безопасности данного проекта в будущем, поскольку развитие компьютерных и сетевых технологий не стоит на месте, а вместе с тем возрастают навыки и ухищрения злоумышленников, то есть возникает возможность появления «слабых мест» в информационной безопасности.

В виду того, что при создании проекта по созданию политики безопасности разрабатываемой ИС, могут быть рассмотрены аспекты, не предусмотренные или ранее не находившие применение в организации, то можно говорить и о перспективе развития политики безопасности ООО «КРГ» в целом.

2. Стандарты.

1. Структурная схема ЛВС.

В настоящий момент ЛВС ООО "Комирегионгаз" построена на базе одного промышленного сервера, маршрутизатора Cisco 3640 и 3-х коммутаторов Catalyst 3100. Общая пропуская способность сети составляет 10/100 Мбит/с и позволяет осуществлять полноценную загрузку сервера и использовать современное ПО.

В ЛВС включено около 40 рабочих станций и 6 сетевых принтеров. На рисунке приведены только интересующие в рамках создаваемой ИС рабочие станции и принтер. Внутри ООО "КРГ" организована и функционирует электронная почта с представительствами в различных городах (филиалами) и Компанией.

В магистрали ЛВС организован один (центральный) узел коммутации. В указанном узле ЛВС установлены три соединенных между собой коммутатора Catalyst 3100, которые образуют тем самым единый центральный коммутатор. Коммутатор Catalyst 3100 - это 24-портовый коммутатор ЛВС, обеспечивающий многоуровневую функциональность. Данный коммутатор обеспечивают поддержку таких функций, как формирование виртуальных локальных сетей (VLAN), сервисы АТМ, возможность контроля за устройством и сетью посредством RMON. Catalyst 3100 имеет 24 фиксированных порта Ethernet 10Base-T и один флекс-слот, который может быть использован для установки модуля, осуществляющего доступ к глобальным сетям, либо любого модуля, поддерживаемого коммутаторами серии Catalyst 3000.

Сетевые станции (персональные компьютеры, сетевые принтеры) подключаются к сети по каналам Ethernet. При этом каждая станция подключается непосредственно к одному из портов Ethernet-коммутатора.

К коммутатору 1 подключается сервер баз данных.

К одному из портов Ethernet коммутатора 2 подключается многопротокольный модульный маршрутизатор Cisco 3640. В его конструктив установлен модуль с интерфейсами Ethernet - два порта (Интерфейсы Ethernet предназначены для подключения к ЛВС организации) и два порта с последовательными интерфейсами. Управляется с помощью универсального программного обеспечения Cisco IOS, которое поддерживает протоколы локальных и глобальных сетей, оптимизирует работу с глобальными сетями, контролирует межсетевой доступ и возможность осуществления маршрутизации между VLAN-ами и управление потоками трафика. Имеется поддержка PPP как для входящих (dialin), так и для исходящих (dialout) соединений. Также в программное обеспечение, поставляемое вместе с маршрутизатором, добавлена опция обеспечения безопасности данных, передаваемых по WAN - интерфейсам. В настоящее время обеспечивается безопасность данных, передаваемых по протоколу IP.

Для осуществления мониторинга сети используется SNMP-адаптеры, подключенные к SuperStack II PS Hub. Повторитель в свою очередь подключен к каждому из коммутаторов и маршрутизатору. Мониторинг осуществляется по протоколу SNMP.

1. Информационные ресурсы (классификация объектов).

Данные, с которыми работают сотрудники организации ООО «КРГ», относятся к конфиденциальным, поскольку несут действительную коммерческую ценность в силу неизвестности и не владения ею третьими лицами. Ниже перечислены все данные, которые будут создаваться, использоваться и храниться в разрабатываемой системе.

1. Общая информация по основным объектам МГ и ГРС (адрес, управленческий состав на объекте, телефоны);

2. Информация по техническим характеристикам основных объектов МГ и ГРС;

3. Информация по техническим характеристикам основных устройств МГ и ГРС;

4. Информация по событиям (авариям/ремонтным работам);

5. Графическое представление объектов и устройств МГ и ГРС в виде схем различного типа (хранятся в файлах):

5.1 Общая схема подключения основных объектов и устройств МГ;

5.2 Схемы узлов подключения газа (по различным объектам, расположенным на общей схеме МГ, за исключением тех, для которых предусматриваются специализированные схемы);

5.3 Схемы месторождений;

5.4 Технологические схемы ГРО;

5.5 Технологические схемы Трансгазов;

5.6 Схема низких сетей (схемы ГРС);

5.7 Технологические схемы подключения потребителей (по каждому – основные и резервные схемы).

Поскольку данные, описывающие стратегические расположения и реальные физические наименования объектов и устройств газопровода и газораспределительной сети относятся к государственной тайне, было принято решение в рамках дипломного проекта использовать только аббревиатуры объектов. Использование реальных географических координат при разработке системы не требуется, так как для ОДС важным является условное расположение объектов с основными техническими характеристиками, а также способы подключения потребителей газа.

Каждый из объектов информационной системы имеет свой жизненный цикл, который состоит из следующих стадий:

• создание объекта субъектом;

• хранение объекта;

• передача объекта от хранилища к месту обработки и обратно;

• обработка объекта (создание нового объекта, его модификация и удаление).

В соответствии с данным жизненным циклом можно определить основные действия с объектом:

• хранение объекта;

• передача объекта;

• обработка (создание, модификация, уничтожение) объекта.

1. Пользователи ИС (классификация субъектов).

1. Генеральный директор организации ООО «Комирегионгаз» - осуществление общего контроля деятельности предприятия, в частности контроля деятельности оперативно-диспетчерской службы. То есть субъект, использующий объекты;

2. Системный администратор – внедрение ИС в информационную структуру организации, настройка возможностей взаимодействия с другими программными продуктами, в частности, контроль правильности функционирования системы. То есть субъект, администрирующий объекты (обеспечивающий среду работы с объектами);

3. Начальник ОДС – использование ИС, контроль правильности и своевременность наполнения. То есть субъект, создающий, использующий и контролирующий использование объектов объекты;

4. Диспетчера ОДС (сменные) – непосредственное наполнение БД, создание схем, использование в производственном процессе, формирование отчетов. То есть субъекты, создающие и использующие объекты.

1. Класс безопасности.

Все классы оценки автоматизируемых систем разделяют на 3 группы, которые различаются особенностями обработки и хранения информации.

Разработанная система является многопользовательской в плане одновременного доступа нескольких пользователей к ней, поскольку одновременно с системой могут работать генеральный директор организации, администратор системы, начальник диспетчерской службы и диспетчера ОДС. При этом все права доступа и возможные действия строго разграничены между пользователями. Следовательно, разрабатываемую ИС необходимо отнести к 3 группе. При этом информация, обрабатываемая и хранящаяся в системе, является конфиденциальной, а, следовательно, к ней необходимо применить класс защиты 1Г (или С2 – по «Оранжевой книге»).

1. АО и ПО, достаточное для функционирования ИС.

Сервер: