Антиплагиат (1209210), страница 8
Текст из файла (страница 8)
1Обязательные для реализации меры защиты оператор определяет исходя изособенностей защищаемой информационной системы, согласно ранееперечисленным нормативно-правовым документам.Выбор мер защиты информации осуществляется исходя из классазащищенности информационной системы, определяющего требуемый уровеньзащищенности содержащейся в ней информации, и угроз безопасностиинформации, включенных в модель угроз безопасности информационнойсистемы, а также с учетом структурно-функциональных характеристикинформационной системы, к которым относятся структура и составинформационной системы, физические, логические, функциональные итехнологические взаимосвязи между сегментами информационной системы,взаимосвязи с иными информационными системами и информационнотелекоммуникационными сетями, режимы обработки информации винформационной системе и в ее отдельных сегментах, а также иные42характеристики информационной системы, применяемые информационныетехнологии и особенности ее функционирования.
1Разработка методических рекомендаций проходила поэтапно. Первымэтапом при анализе методического документа ФСТЭК России «Меры защитыинформации в государственных информационных системах» 1 были определенымеры защиты информации, 1 реализация которых прямо или косвенноосуществляется с применением технических средств защиты информации. 96Связь данных мер защиты информации с 96 техническими средствами защитыинформации осуществляется путем настроек технических средств защитыинформации в соответствии с требованиями меры защиты, обязательной креализации.После чего, для каждой из определенных на первом этапе мер защиты,разрабатывался алгоритм действий работника, разрабатывающего техническийпроект на создание системы защиты информации. В ходе реализации данногоалгоритма осуществляется определение параметров, необходимых длянастройки технических средств защиты информации.Для более подробного описания принципов формирования алгоритмаопределения параметров рассмотрим выдержку из разработанных методическихрекомендаций: КАК ВСТАВИТЬ ФРАГМЕНТ МЕТОДИЧКИ??2.1 ИДЕНТИФИКАЦИЯ И АУТЕНТИФИКАЦИЯ СУБЪЕКТОВДОСТУПА И ОБЪЕКТОВ ДОСТУПА (ИАФ)ИАФ.
1 ИДЕНТИФИКАЦИЯ И АУТЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЕЙ,ЯВЛЯЮЩИХСЯ РАБОТНИКАМИ ОПЕРАТОРАС 1 целью реализации меры необходимо:1. Определить внутренних пользователей1 ИС;2. Присвоить учетные записи внутренним пользователям ИС;3. Определить виды доступа;4. Определить разрешенные действия до идентификации иаутентификации пользователей в ИС (смотри УПД.11);5. Определить параметры пароля (смотри ИАФ.4);436. Установить идентификатор.1К внутренним пользователям относятся должностные лица оператора(пользователи, администраторы), выполняющие свои должностные обязанности(функции) с использованием информации, информационных технологий итехнических средств информационной системы в соответствии с должностнымирегламентами (инструкциями) утвержденными оператором и которым винформационной системе присвоены учетные записи. 1Внутренние пользователи организации определяются в соответствии с ОРД.Идентификация и аутентификация пользователей, являющихся работникамиоператора это первая мера в разделе идентификации и аутентификациисубъектов доступа и объектов доступа согласно методическому документуФСТЭК России «Меры защиты информации в государственныхинформационных системах».
1 Мера обязывает реализовывать винформационной системе идентификацию и аутентификацию пользователей,являющихся сотрудниками оператора.В целях выполнения данной меры по защите информации оператор обязанпри доступе в информационную систему осуществлять идентификацию иаутентификацию пользователей, являющихся сотрудниками оператора(внутренних пользователей), а так же обеспечить контроль процессов,запускаемых от имени этих пользователей или системных учетных записей.Данная мера защиты информации реализуется при помощи техническихсредств защиты информации.
С целью реализации меры защиты ИАФ.1 приразработке технического проекта на создание системы защиты информациинеобходимо определить параметры настройки технических средств защитыинформации, а именно:– определить внутренних пользователей информационной системы. 19Внутренние пользователи информационной системы 19 определяются всоответствии с организационно-распорядительной документацией оператора, кним относятся работники оператора, выполняющие свои должностныеобязанности (функции) с использованием информации, информационных44технологий и технических средств информационной системы в соответствии сдолжностными регламентами (инструкциями) утвержденными оператором.
1Организационно-распорядительные документы по защите информациивключают, как правило, политики, стандарты организации, положения, планы,перечни, инструкции или иные виды документов, разрабатываемые операторомдля регламентации процедур защиты информации в информационной системе входе ее эксплуатации;– 1 присвоить внутренним пользователям информационной системы учетныезаписи для их идентификации и аутентификации с использование техническихсредств защиты информации в информационной системе;Так же мера защиты информации ИАФ.1 обязывает однозначноидентифицировать и аутентифицировать пользователей информационнойсистемы для всех видов доступа, кроме тех видов доступа, которыеопределяются как действия, разрешенные до идентификации и аутентификациив соответствии с мерой защиты информации 1 по 3 управлению доступомсубъектов доступа к объектам доступа (УПД).
А 21 именно в соответствии с мерой«УПД.11 Разрешение (запрет) действий пользователей разрешенных доидентификации и аутентификации». 16 Для реализации данных требованийприменяя технические средства защиты информации необходимо:– определить для пользователей виды доступа;– определить действия разрешенные до 5 идентификации и аутентификациипользователей в 5 информационной системе.
5 Определение происходит наосновании меры «УПД.11 Разрешение (запрет) действий пользователейразрешенных до идентификации и аутентификации». К 16 действиям,разрешенным до идентификации и аутентификации 6 можно отнести включениерабочей станции, выключение рабочей станции, перезагрузка рабочей станции,смена пользователя.Для осуществления аутентификации пользователей в системе могут бытьиспользованы пароли, аппаратные средства, биометрические характеристики,иные средства или в случае многофакторной (двухфакторной) аутентификации –45определенная комбинация указанных средств.
С целью выполнения данныхтребований меры защиты ИАФ.1 необходимо:– определить параметры пароля.Параметры пароля определяются в соответствии с мерой защитыинформации 1 ИАФ.4 « 1 Управление средствами аутентификации, в том числехранение, выдача, инициализация, блокирование средств аутентификации ипринятие мер в случае утраты и (или) компрометации средств аутентификации». 52Данная мера защиты определяет требования по управлению средствамиаутентификации. При использовании в информационной системе механизмоваутентификации на основе пароля, 1 применяя технические средства защитыинформации, данная мера защиты устанавливает требования к основнымхарактеристикам пароля, а именно:– минимальная сложность пароля с определяемыми операторомтребованиями к регистру, количеству символов, сочетанию букв верхнего инижнего регистра, цифр и специальных символов;– 1 минимальное количество измененных символов при создании новыхпаролей;– максимальное время действия пароля;– минимальное время действия пароля;В разработанных методических рекомендациях при рассмотрении мерызащиты ИАФ.4 сформирована таблица 3.1, содержащая диапазон допустимыхзначений характеристик пароля, в зависимости от класса защищаемойинформационной системы и необходимости усиления.
Таблица 3.1 помогаетразработчику технического проекта на создание системы защиты информации,сформировать настройки технических средств защиты информации всоответствии с требованиями к реализации и усилению ИАФ.4, а так жеминимизировать ошибки, при определении параметров настройки.Таблица 3.1 «Параметры характеристик пароля»Реализация меры Класс46123-Длина пароля: От 8символов;От 6 символов;-Алфавит пароля: От 70 символов; От 60символов;-Количество попыток вводаневерного пароля доблокировки:От 3 до 4; От 3 до 8; От 3 до 10;-Время блокировки программнотехнического средства илиучетной записи:От 15до 60минут;От 10 до 30минут;От 5 до 30минут;-Срок замены пароля: До 60 дней; До 90 дней; До 120 дней;При выполнении алгоритма для реализации меры защиты информацииИАФ.1 на этапе определения пароля содержится ссылка на меру защитыинформации ИАФ.4, что позволяет поэтапно определять необходимыепараметры настройки технических средств защиты в соответствии суточняющими параметры мерами.При определении параметров согласно методическим рекомендациямосуществляется формирование и заполнение форм, и перечней для заполнения,определяющих параметры настройки технических средств защиты информации.Заполненные формы с параметрами настройки технических средств защитыинформации предназначены для включения в раздел технического проекта насоздание системы защиты информации и последующего практическогоиспользования при настройке средств защиты информации.
Наглядно одна изформ, а именно форма перечень типов устройств, используемых винформационной системе и подлежащих идентификации и аутентификации доначала информационного взаимодействия 1 представлена таблицей 3.2.Таблица 3.2 «Форма для заполнения перечня типов устройств, используемых47в информационной системе и подлежащих идентификации и аутентификации доначала информационного взаимодействия» 1Noп/пТип устройства Рабочая станция Идентификатор(ID/IP/MAC/др.)Жесткие диски РС1ОЗУСъемные дискиСетевые картыПри заполнении данной формы разработчик технического проекта насоздание системы защиты информации формирует параметры настройкитехнических средств защиты информации для реализации меры защиты ИАФ.2«идентификация и аутентификация устройств, в том числе стационарных,мобильных и портативных».ИАФ.2 3ИАФ.2 ИДЕНТИФИКАЦИЯ И АУТЕНТИФИКАЦИЯ УСТРОЙСТВ, ВТОМ ЧИСЛЕ СТАЦИОНАРНЫХ, МОБИЛЬНЫХ И ПОРТАТИВНЫХС 1 целью реализации меры необходимо:1.
Определить устройства, подлежащие идентификации иаутентификации до начала информационного взаимодействия;2. Определить способ идентификации2 устройств в ИС.2 Идентификация устройств в информационной системе обеспечивается пологическим именам (имя устройства и (или) ID), логическим адресам(например, IP-адресам) и (или) по физическим адресам (например, МАСадресам) устройства или по комбинации имени, логического и (или)физического адресов устройства.483.1 1 Оценка эффективности предложенного решенияЗаключениеСписок использованных источниковОпределения и сокращенияПри написании пояснительной записки для выпускной квалификационнойработы применялись следующие термины и сокращения:– ИС – информационная система;– ЗИ – защита информации;– НСД – несанкционированный доступ;– СЗИ – средства защиты информации;– ПАК – программно-аппаратный комплекс;– 28 ПЭМИН – побочные электромагнитные излучения;– 28 ПО – программное обеспечение;– ОС – операционная система;– СУБД – система управления базами данных.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
