48667 (Разработка проекта комплексной защиты информации), страница 3

2016-07-30СтудИзба

Описание файла

Документ из архива "Разработка проекта комплексной защиты информации", который расположен в категории "". Всё это находится в предмете "информатика" из 1 семестр, которые можно найти в файловом архиве . Не смотря на прямую связь этого архива с , его также можно найти и в других разделах. Архив можно найти в разделе "курсовые/домашние работы", в предмете "информатика, программирование" в общих файлах.

Онлайн просмотр документа "48667"

Текст 3 страницы из документа "48667"

Выделяют сведения конфиденциального характера на основании следующих документов:

Сведениям различной степени конфиденциальности в соответствии с СТР-К собственниками информации должны присваиваться соответствующие грифы конфиденциальности. На основании анализа входящих документов выявлено следующее:

Конфиденциальная информация в подразделениях Администрации обрабатывается с помощью офисных приложений, ведомственного прикладного программного обеспечения (ПО) с использованием систем управления базами данных (СУБД) и служебных утилит.

Границей КЗ Администрации является ограждающая конструкция территории. Особенностью КЗ является присутствие на контролируемой территории посторонних лиц (ведется прием посетителей).

Телефонная связь в Администрации осуществляется через общую АТС и внутреннюю. Кабели общей АТС выходят за пределы КЗ.

Пожарная и охранная сигнализации установлены во всех помещениях здания.

Электропитание всего здания осуществляется от трансформаторной подстанции, которая расположена на контролируемой территории и обслуживается персоналом станции.

Доступ к информации.

Доступ на территорию Администрации осуществляется свободно, кроме второго этаже где находится КПП. Пропускной режим обеспечивается круглосуточно силами сотрудников вневедомственной охраны УВД. Доступ на территорию Администрации и в помещения, где хранится кон информация, осуществляется по служебному удостоверению либо по специальной отметке в пропуске.

Допуск служащих Администрации к защищаемым информационным ресурсам осуществляется в соответствии с должностными обязанностями, утвержденными службой безопасности, и разграничивается штатными средствами ОС. Физический доступ к серверу и активному сетевому оборудованию ограничен, они размещены на втором этаже здания, в отдельном кабинете, в закрывающихся телекоммуникационных шкафах.

Для передачи данных между пользователями АРМ используются автоматизированные системы документооборота (внутренняя электронная почта, средства передачи сообщений).

Информационная характеристика.

В технологическом процессе обработки конфиденциальной информации определены следующие компоненты:

  • субъекты доступа;

  • объекты доступа.

К субъектам доступа относятся:

  • служащие, имеющие отношение к процессу функционирования Администрации и которые имеют возможность доступа к её ресурсам;

  • процедуры (процессы) обработки данных прикладного и системного ПО, а также СУБД, которые получают данные из файлов и баз данных на сервере.

К объектам доступа относятся:

  • информационные ресурсы – отдельные файлы и массивы файлов, поля, записи и таблицы БД, документы, машинные носители информации (НЖМД, НГМД, CD-RW (CD-R) диски), доступ к которым должен регламентироваться правилами разграничения доступа;

  • элементы системы – средства обработки и передачи информации (технические и программные средства, средства приема, отображения, перемещения информации, машинные накопители и носители на бумажной основе), доступ к которым необходимо регламентировать.

На ПЭВМ пользователей и на сервере установлены операционные системы семейства Microsoft Windows (XP), но система управления пользователями и разграничения доступа к файловым ресурсам не является централизованной (доменная структура отсутствует).

Каналы утечки информации.

К возможным каналам утечки или нарушения целостности информации можно отнести:

  • НСД к информации, обрабатываемой на ПЭВМ и на сервере;

  • НСД к бумажным и машинным носителям информации;

  • выход из строя технических и программных средств, в т.ч. машинных носителей информации.

Нарушение целостности информации возможно как путем физического разрушения носителей информации, так и путем искажения ее с помощью программных средств:

  • Аварии, стихийные бедствия (пожар, затопление);

  • Колебания в сети электропитания;

  • Старение магнитной поверхности носителей информации;

  • Ошибочное удаление информации пользователем;

  • Сбои прикладного программного обеспечения.

Возможны следующие способы несанкционированного доступа к защищаемым ресурсам АС:

  • физический доступ к носителям информации (к серверу) и их резервным копиям с целью их хищения;

  • физический доступ к бумажным носителям информации, с целью их хищения, размножения, фотографирования;

  • непосредственный (вне рамок прикладного ПО) доступ к файлам хранилища информации, таблицам БД и исполняемым модулям ПО - удаленно или локально с целью их копирования и дальнейшей установки, а также с целью их уничтожения;

  • применение нештатных специальных программ, обеспечивающих восстановление удаленных данных с машинных носителей информации;

  • передача файлов по каналам связи между сотрудниками и за пределы станции с целью предоставления НСД лицам, не имеющим допуска к данной информации в обход штатных средств защиты;

  • доступ в рамках прикладного ПО локально или удаленно к базам данных и файлам с использованием недокументированных возможностей и режимов работы этого ПО, разработанных и установленных в качестве модификаций, в случае, когда разработчиком ПО является сторонняя организация;

  • любой доступ к ПО и данным с использованием технологий взлома средств защиты с целью получения или уничтожения данных (в т.ч. компьютерные вирусы);

  • доступ с использованием чужого идентификатора, а также с чужого рабочего места во время отсутствия пользователя этого АРМ.

Модель нарушителя

В качестве возможного нарушителя рассматривается субъект, имеющий доступ к работе с программными и техническими средствами. Нарушители классифицируются по уровню возможностей, предоставляемых им всеми доступными средствами (Таблица 1).

Таблица 1.

Уро-вень

Возможности нарушителя по технологическому процессу

Потенциальная группа нарушителей

Возможный результат НСД

1

Нет

Служащие, не имеющие доступа к информации, но имеющие доступ в помещения (обслуживающий персонал, посетители)

Просмотр на экране монитора и хищение бумажных и машинных носителей.

2

Запуск задач (программ) из фикси­ро­ванного набора, реализующих заранее предусмотренные функции по обра­ботке информации

Большинство пользователей АС, имеющих непосредственный доступ в помещения, к АРМ, с полномо­чиями, ограниченными на уровне системы защиты информации (СЗИ)

Доступ пользователя к информации другого пользователя в его отсутствие, в т.ч. через сеть, просмотр информации на мониторе (несоблюдение организационных требований). Просмотр и хищение бумажных носителей.

3

Управление функционированием АС, т.е. воздействие на базовое программное обеспечение ОС и СУБД, на состав и конфигурацию оборудования АС, на настройки СЗИ. Работа с внешними носителями.

Администраторы АС, наделенные неограниченными полномочиями по управлению ресурсами

Доступ администратора АС к информации других пользователей и к средствам СЗИ, непреднамеренное разрушение информации (несоблюдение организационных требований)

4

Весь объем возможностей лиц, осуществляющих ремонт технических средств АС.

Обслуживающий персонал АС. Специалисты сторонних организаций, осуществляющих поставку и монтаж оборудования для АС

Доступ обслуживающего персонала АС к МН с информацией других пользователей, разрушение информации, установка закладных устройств (несоблюдение организационных требований при ремонте ОТСС)

Фактическая защищенность

Доступ служащих к ресурсам разграничивается штатными средствами ОС. Список служащих, имеющих доступ к ресурсам, документально определен. Доступ ограничивается в соответствии с должностными инструкциями.

Документ, определяющий порядок конфиденциального документооборота существует и утвержден.

Документально определена технология обработки информации (документ «Описание технологического процесса обработки информации»).

На серверах и рабочих станциях применяются операционные системы MS Windows, что позволяет применить сертифицированные средства защиты от НСД. Но также осуществляется обработка информации в СУБД, что практически исключает применение на данных объектах сертифицированных средств защиты от НСД по причине отсутствия таких средств на рынке.

Перечень мер по защите

Разработка перечня защищаемой информации

  • Необходимо переработать перечень сведений конфиденциального характера в плане детализации обрабатываемых данных и отнесении сведений к той или иной степени конфиденциальности.

Конфиденциальность информации

С целью повышения степени защищенности информации в плане соблюдения конфиденциальности необходимо:

  • разделить ввод и вывод информации одного грифа на уровне АРМ или пользователей с целью разделения ответственности и усиления контроля за этими этапами технологического процесса;

  • ограничить (в т.ч. организационно) возможности несанкционированного вывода информации пользователями на внешние носители (дискеты, лазерные накопители CD-RW, USB-Flash) и на печать;

  • ограничить количество или исключить использование локальных принтеров на АРМ пользователей, назначить ответственных за печать документов на сетевых принтерах;

  • исключить доступ пользователей к ресурсам АРМ других пользователей, как на запись, так и на чтение, т.е. возможность создания пользователями общих сетевых ресурсов на своих АРМ. Обмен информацией между пользователями осуществлять через общие ресурсы на серверах;

  • если один служащий относится к нескольким категориям пользователей, то при совмещении обязанностей он должен пользоваться разными идентификаторами. Например, администратор может выполнять работу пользователя, но не имеет права делать это с идентификатором администратора.

Целостность информации

С целью повышения степени защищенности информации в плане соблюдения целостности необходимо:

  • внедрение исправлений и добавлений централизованно распространяемых ведомственных программных средств на АРМ пользователей и на сервер должно осуществляться в виде уже откомпилированных исполняемых модулей и процедур, в состав которых не должны включаться средства отладки.

Состав рабочей документации

Для документального определения режимов обработки и защиты информации в состав рабочей (исполнительной) документации по защите конфиденциальной информации необходимо включить следующие документы:

  • «Описание технологического процесса обработки конфиденциальной информации», в котором отражен порядок проведения всех операций ТП (ввод, вывод, обработка и хранение, резервирование и восстановление, управление доступом);

  • «Инструкция пользователя», в которой отражены порядок его работы с информацией, права, обязанности и ответственность;

  • «Инструкции администраторов ОС, БД»;

  • «Инструкция обслуживающего персонала»;

  • «Журнал регистрации бумажных носителей информации», в котором учитываются все операции распечатывания документов, графы журнала заполняются исполнителями работ;

  • «Журнал учета резервного копирования», в котором учитываются все операции резервного копирования и восстановления информации, все графы журнала заполняют администраторы.

  • Перечень сведение конфиденциального характера Администрации города Миасса.

Приложение №4

«Политика безопасности Администрация города Миасса

УТВЕРЖДАЮ

Свежие статьи
Популярно сейчас
А знаете ли Вы, что из года в год задания практически не меняются? Математика, преподаваемая в учебных заведениях, никак не менялась минимум 30 лет. Найдите нужный учебный материал на СтудИзбе!
Ответы на популярные вопросы
Да! Наши авторы собирают и выкладывают те работы, которые сдаются в Вашем учебном заведении ежегодно и уже проверены преподавателями.
Да! У нас любой человек может выложить любую учебную работу и зарабатывать на её продажах! Но каждый учебный материал публикуется только после тщательной проверки администрацией.
Вернём деньги! А если быть более точными, то автору даётся немного времени на исправление, а если не исправит или выйдет время, то вернём деньги в полном объёме!
Нет! Мы не выполняем работы на заказ, однако Вы можете попросить что-то выложить в наших социальных сетях.
Добавляйте материалы
и зарабатывайте!
Продажи идут автоматически
4123
Авторов
на СтудИзбе
667
Средний доход
с одного платного файла
Обучение Подробнее