Антиплагиат_резников (Разработка профиля защиты информации в государственной информационной системе), страница 4

Магадан элементы расположены с первого по четвертые этажиздания. Сервера установлены в серверной, доступ в которую осуществляетсячерез кабинет администратора на четвертом этаже. В сегменте Омсукчанскогогородского округа элементы расположены на втором этаже. Во всех остальныхсегментах ГИС элементы расположены на первом этаже зданий. Границамиконтролируемой зоны ГИС являются ограждающие конструкции зданий (см.15рисунок А.1, А.2, А.3 приложения А).В своей работе ГИС взаимодействует с информационными системамидругих организаций, а именно:УФК РФ;УСД.Обмен осуществляется в электронном зашифрованном виде.В УФК РФ по Хабаровскому краю данные формируются посредством ПО«АРМ Клиента СЭД». Сформированный отчет, содержащий персональныеданные субъектов ПДн шифруется при помощи программы «КриптоПро CSP» иподписывается ЭЦП заместителем руководителя УОДМС.ПК ПИ «Судимость» раз в месяц формирует отчет в виде статистическихкарточек и отправляет их в УСД.

Сформированный отчет, содержащийперсональные данные субъектов ПДн шифруется при помощи программы«КриптоПро CSP» и подписывается ЭЦП руководителя УОДМС.Существующие меры защиты информацииКонтроль доступа в здания осуществляется штатными работниками УОДМС(судебными приставами). Работники попадают в здание с помощью служебногоудостоверения, предъявляя его судебным приставам на входе в здание. Такжеработники проходит через рамку металлодетектора. В середине коридора напервом этаже находится еще один пункт пропуска, на котором находитсясудебный пристав. Работники, которым необходимо пройти на следующиеэтажи, предъявляют удостоверение и проходят.

Со второго по четвертый этаж вкоридорах находится по одному судебному приставу, осуществляющемуконтроль за соблюдением порядка нахождения лиц в помещениях.В здании УОДМС возможно нахождение посетителей. На первомпропускном пункте посетители предъявляют повестку в суд, либо разрешениена посещение заседания (при открытых судебных заседаниях) и проходят черезрамку металлодетектора. Если посетителям требуется пройти на следующие16этажи, то возле входа в здание имеется помещение, в котором посетителямвыписывают разовый пропуск с разрешения того подразделения, в котороенаправляется посетитель. По этому пропуску посетитель проходит и второйпропускной пункт.По периметру здания и внутри установлены камеры видеонаблюдения.Помещения оборудованы охранной сигнализацией. Охранная сигнализациявключается в конце рабочего дня и отключается в начале рабочего дня, ввыходные и праздничные дни охранная сигнализация не отключается.

Внерабочее время охрана здание осуществляется частным охраннымпредприятием, с которым у УОДМС заключен договор. В помещениях имеетсяпожарная сигнализация, работающая круглосуточно. Вся поступающаяинформация со средств охраны помещений централизовано поступает на пультохраны, помещение которого расположено на первом этаже у центральноговхода и оборудовано «тревожной кнопкой».Контроль доступа в помещения остальных сегментов ГИС так жеосуществляется штатными сотрудниками (судебными приставами).

На входесотрудник УОДМС должен предъявить служебное удостоверение. Помещенияоборудованы охранной сигнализацией, которая работает в нерабочее время.Элементы сегмента г. Магадан располагаются с первого по четвертый этажздания. В сегменте Омсукчанского городского округа элементы расположены навтором этаже. Во всех остальных сегментах ГИС элементы расположены напервом этаже здания.Все кабинеты, где обрабатываются и хранятся данные, имеют двери,запирающиеся на ключ. Серверная находится в кабинете 403а, ограждена откабинета 403 стеклянной перегородкой. Кабинет 403 является кабинетомадминистратора ГИС и имеет металлическую дверь.

На окнах кабинетовустановлены непрозрачные жалюзи. В серверной и в некоторых кабинетах наокнах установлены металлические решетки. На окнах помещений другихсегментов также установлены жалюзи и решетки. Двери деревянные,запирающиеся на ключ.17Съемные носители персональных данных хранятся у пользователей.

Журналучета и другая регламентирующая документация не разработана.Для защиты канала связи при обмене информацией с иными ИС вУправлении применяются КСЗИ КриптоПро CSP версии 3.6 ПО установлено наАРМ 406.1 и 406.2.Антивирусная защита осуществляется с применением ПО «KasperskyEndpoint Protection 10».Классификация информационной системыОбеспечение безопасности информации осуществляется реализациейперечня технических и организационных мер обеспечения безопасности,которые определяются нормативно-методической документацией ФСТЭКРоссии и ФСБ России. Перечень технических и организационных мер зависитот определенного для информационной системы класса защищенности.В связи с тем, что в ГИС обрабатываются разные виды информации:персональные данные и служебная тайна, необходимо проводитьклассификацию информационной системы отдельно для каждого видаинформации.Уровень защищенности ПДнВ ходе обследования было выявлено, что информационная система «МИРС49» разделена на сегменты.

Ввиду того, что сегменты обрабатываютодинаковые категории ПДн, то классификация производится для всейинформационной системы в целом.В ходе обследования ИС было выявлено:в ГИС обрабатываются иные и специальные категории ПДн субъектов, неявляющихся сотрудниками оператора;в ГИС одновременно обрабатываются данные менее 100 тысяч субъектов, не18являющихся сотрудниками УОДМС;используется только лицензионное ПО, проводится регулярное обновлениеобщесистемного и прикладного ПО;прикладные программы, используемые для обработки ПДн лицензионные,несанкционированному изменению не подвергаются;антивирусное ПО имеет сертификат ФСТЭК, вирусные базы регулярнообновляются.Исходя из вышеизложенного, угрозы, связанные с наличиемнедокументированных (недекларированных) возможностей в системном иприкладном программном обеспечении 9 не 21 актуальны для информационнойсистемы «МИРС 49».Исходя из категорий и объема ПДн, одновременно обрабатываемых в ГИС« МИРС 49» 88 и типа угроз на основании пункта 11 подпункта «б» Требований кзащите ПДн [7] необходимо обеспечить третий уровень защищенностиперсональных данных.Класс защищенности ГИСВ соответствии с Требованиями о защите информации, не составляющейгосударственную тайну, содержащейся в государственных 28 информационныхсистемах [X], класс защищенности информационной системы определяется взависимости от уровня значимости информации, обрабатываемой в этойинформационной системе, и масштаба информационной системы.В 5 ходе обследования была установленная низкая степень возможногоущерба.

В соответствии с низкой степенью возможного ущерба, для ГИС«МИРС 49» установлен низкий уровень значимости информации – 22 третий.ГИС функционирует на территории 22 одного субъекта Российской Федерации, 22поэтому имеет региональный 22 масштаб информационной системы. 22Таким образом, на основании уровня значимости информации и масштабаГИС «МИРС 49» должен быть установлен класс защищенности 2019информационной системы К3. 20Модель угроз безопасности 20 информацииМодель вероятного нарушителяВ соответствии с документом « Модель угроз безопасности информации,обрабатываемой в государственной информационной системе ГИС «МИРС 49»Министерства государственно-правового развития Магаданской области» ( 88 далее– Модель угроз) (приложение Б), наиболее вероятными нарушителямиявляются:внешние субъекты (физические лица) – 18 внешние нарушители; 18пользователи информационной системы – 18 внутренние нарушители);бывшие работники (пользователи) – 18 внешние нарушители.С учетом указанных видов нарушителей был определен потенциалнарушителя – базовый (низкий).Модель угрозУгрозами безопасности информации при обработке в ГИС считается рядусловий и факторов, которые создают опасность несанкционированного, атакже случайного, доступа к защищаемой информации, в результате чегоинформация может быть уничтожена, изменена, заблокирована, скопирована,незаконно распространена.Определение актуальных угроз производилось в «Модели угроз»(приложение Б).В соответствии с «Моделью угроз», актуальные угрозы для государственнойинформационной системы «МИСР 49» являются:кража, модификация и уничтожение информации;несанкционированное отключение средств защиты; 2120 21модификация ПО базовой системы ввода/вывода (BIOS);загрузка нештатной (не доверенной) операционной системы;действия вредоносных программ (вирусов); 21установка ПО, не связанного с исполнением служебных обязанностей; 40утрата 21 атрибутов доступа и ключей;разглашение (например, при разговорах, записывание на бумаге и т.п.)логинов и паролей;неумышленная (случайная) модификация (искажение) доступнойинформации;неумышленное (случайное) добавление (фальсификация)информации;непреднамеренное отключение средств защиты;доступ к информации, её уничтожение или модификациясотрудниками, не допущенными к её обработке;перехват информации за пределами контролируемой зоны; 4угроза «сканирование сети»; 4угроза выявления паролей;угроза подмены доверенного объекта сети; 17внедрение ложного объекта 17 сети;угрозы 17 удаленного запуска приложений.Согласно базовой модели угроз 8 персональных данных при их обработке винформационных системах персональных данных, утвержденной Заместителемдиректора ФСТЭК России 21 15.02.2008 г.

[12], угроза безопасности информацииявляется актуальной, 28 если для информационной системы с заданнымиструктурно-функциональными характеристиками и особенностямифункционирования существует вероятность реализации рассматриваемойугрозы, и 28 ее реализация приведет к неприемлемым негативным последствиям(ущербу) от нарушения конфиденциальности, целостности или доступностиинформации. 2821 28Для оценки возможности реализации угрозы 27 определялись два показателя:уровень исходной ( 27 проектной) защищенности ГИС и вероятность реализациирассматриваемой угрозы.Под уровнем проектной защищенности ГИС понимается обобщенныйпоказатель, зависящий от технических и эксплуатационных характеристик 31 ИС,приведенных в таблице 1.1Таблица 1.1 – Показатели, 5 характеризующие проектную защищенностьинформационной системыСтруктурно-функциональныехарактеристики ИС, условия ееэксплуатацииУровень проектной защищенности ИСВысокий Средний НизкийПо структуре ИС:– автономноеавтоматизированное рабочее место;–– локальная ИС; –– распределенная ИС +По используемым информационнымтехнологиям:системы на основе виртуализации; –системы, реализующие «облачныевычисления»;–системы с мобильнымиустройствами;–системы с технологиямибеспроводного доступа;–грид–системы; –суперкомпьютерные системы –По архитектуре информационнойсистемы:системы на основе «тонкогоклиента»;+системы на основе одноранговойсети;–Продолжение таблицы 1.1Структурно-функциональныехарактеристики ИС, условия ееУровень проектной защищенности ИСВысокий Средний Низкий22эксплуатациифайл–серверные системы; +центры обработки данных; –системы с удаленным доступомпользователей;–использование разных типовоперационных систем(гетерогенность среды);–использование прикладныхпрограмм, независимых отоперационных систем;–использование выделенныхканалов связи+По наличию (отсутствию)взаимосвязей с инымиинформационными системами:взаимодействующая с 25 системами; +невзаимодействующая ссистемами–По наличию ( 25 отсутствию)взаимосвязей ( подключений) к сетямсвязи общего пользования: 25подключенная; –подключенная через выделеннуюинфраструктуру (gov.ru илииную);+неподключенная –По размещению техническихсредств:расположенные в пределах однойконтролируемой зоны;–расположенные в пределахнескольких контролируемых зон;+расположенные внеконтролируемой зоны–По режимам обработки информациив ИС:многопользовательский; +Окончание таблицы 1.1Структурно-функциональныехарактеристики ИС, условия ееэксплуатацииУровень проектной защищенности ИСВысокий Средний Низкий23однопользовательский –По режимам разграничения правдоступа:без разграничения; –с разграничением +По режимам разделения функций поуправлению информационнойсистемой:без разделения; –выделение рабочих мест дляадминистрирования в отдельныйдомен;+использование различных сетевыхадресов;+использование выделенныхканалов для администрирования–По подходам к сегментированию ИС:без сегментирования; –с сегментированием +Общее количество решений 5 14 16Сумма положительных решений 1 6 5Величина в % одногоположительного решения20% 7,14% 6,25%Процент характеристик,соответствующих уровню «высокий»20%Процент характеристик,соответствующих уровню «средний»42,9%Процент характеристик,соответствующих уровню «низкий»31,25%Вывод: по результатам анализа структурно-функциональных характеристикГИС «МИРС 49» был присвоен «низкий» уровень проектной защищённости.Теперь, с учётом выбранных показателей, определяющих структурнофункциональные характеристики и условия эксплуатации информационнойсистемы, из перечня угроз, выбранных в соответствии со значением потенциаланарушителя, возможными способами реализации, а также уязвимостями,выбираются только те угрозы, которые реализуются с помощью применяемых врассматриваемой информационной системе технологий, на основании чегомною была заполнена таблица «Перечень угроз, отобранных в соответствии с24технологиями и структурно-функциональными характеристиками ГИС «МИРС49».