1. Пояснительная_записка (1209982), страница 5

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 5)

Меры защиты информации, связанные с применением технических средств защиты информации, осуществляются посредством использования средств защиты, имеющих определенные функции безопасности, при этом в

в информационных системах третьего класса защищенности применяются средства защиты информации шестого класса, а также средства вычислительной техники не ниже пятого класса.

В случае, если в ИС обрабатываются персональные данные, для информационной системы третьего класса защищенности обеспечивают третий и четвертый уровни защищенности персональных данных, в соответствии с «Требованиями к защите персональных данных при их обработке в информационных системах персональных данных», утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119. [8]

1. Технические средства защиты информации

В соответствии с указанными в разделе 2.2 требованиями были предложены сертифицированные средства защиты информации, указанные в таблице 2.4.

Таблица 2.4 – Перечень предлагаемых к использованию сертифицированных средств защиты информации

1. Secret Net Studio

Secret Net Studio представляет собой средство защиты информации от несанкционированного доступа, имеющее действующий сертификат соответствия. Средство соответствует всем требованиям руководящих документов по четвертому уровню контроля отсутствия НДВ, пятому классу защищенности СВТ, четвертому классу защиты СКН, может применяться в МИС до первого класса включительно.

В исследуемой ИС данное СЗИ применяется в следующих целях:

• идентификации и аутентификации пользователей;

• разграничения доступа пользователей информационной системы к ресурсам и информации;

• контроля неизменности аппаратной конфигурации компьютера, контроль подключения и отключения различного вида устройств (веб – камеры, сотовые телефоны, модемы, съемные накопители, принтеры);

• групповой мониторинг работы и расследование инцидентов безопасности.

1. XSpider 7.8.24

XSpider является сертифицированным средством автоматизированного анализа защищенности и обнаружения уязвимостей. Средство соответствует требованиям руководящих документов по четвертому уровню контроля отсутствия недекларированных возможностей.

В исследуемой ИС данное СЗИ применяется в следующих целях:

• полной идентификации сервисов на случайных портах;

• определения типов и имен серверов (HTTP, FTP, SMTP, POP3, DNS, SSH) для определения истинного имени сервера;

• обработки RPC-сервисов (Windows и *nix) с их полной идентификацией;

• проверки парольной защиты на наличие слабостей и уязвимостей;

• проведения проверок на наличие DoS – атак нестандартного вида.

1. VipNet Administrator 3.2

VipNet Administrator 3.2 – это базовый программный комплекс, предназначенный для настройки и управления защищенной информационной сетью, которая включает в себя VipNet NCC (центр управления сетью, ЦУС) – ПО, предназначенное для осуществления конфигурации и управления виртуальной защищенной сетью VipNet.

В исследуемой ИС данное СЗИ применяется в следующих целях:

• построение топологии защищенной сети за счет регистрации узлов, пользователей и обнаружения их взаимодействия;

• построение политики безопасности для каждого узла и формирование для всех узлов списка приложений, работа которых разрешается на данном узле;

• автоматическая рассылка на все узлы информации, касающейся изменений топологии существующей сети, а именно вновь появившихся узлах, связях, новых пользователях, изменений в ключах и сертификатах;

• проведение автоматического централизованного обновления программного обеспечения ViPNet на всех узлах сети, в том числе программно-аппаратные комплексы ViPNet Coordinator HW.

1. VipNet Client 3.2

VipNet Client 3.2 – это программный комплекс, задачей которого является выполнение функций VPN-клиента на рабочем месте или сервере с прикладным программным обеспечением, защита почтовой системы клиента, а так же выполнение функций криптопровайдера для программ, использующих функции подписи и шифрования. VipNet Client 3.2 соответствует требованиям руководящих документов по третьему классу защищенности для межсетевых экранов, а также по классу КС2 для шифровальных (криптографических) средств.

1. VipNet Coordinator HW1000

VipNet Coordinator HW1000 – это программно-аппаратный комплекс, представляющий собой криптошлюз и межсетевой экран, базирующийся на аппаратной платформе телекоммуникационных серверов. Продукт соответствует требованиям руководящих документов по третьему классу защищенности для межсетевых экранов, а также по классу КС3 для шифровальных (криптографических) средств.

В исследуемой ИС данное СЗИ применяется в следующих целях:

• защита логической границы локальной сети за счет функции межсетевого экранирования от угроз безопасности информации со стороны внешнего нарушителя;

• фильтрация трафика, входящего и исходящего из сети;

• шифрование трафика, передаваемого по каналам связи, находящимся без защиты.

1. Организационные меры защиты информации

Для обеспечения выполнения всех подобранных требований, необходима реализация следующих организационных мер:

а) организовать регламент выдачи и учета электронных идентификаторов пользователей информационной системы;:

1. обеспечить выдачу персональных идентификаторов пользователям лично и под роспись;

2. провести инструктаж сотрудников, разъясняющий их обязанности и правила обращения с идентификатором;

б) организовать регламент управления учетными записями пользователей ИС:

1. обеспечить сотрудников первоначальными идентификаторами с обязательной необходимостью их смены при первом сеансе работы;

2. утвердить правила обращения и использования, а так же срока действия идентификатора;

в) разработать перечень правил и процедур, позволяющих осуществлять полный контроль за установкой обновлений системного и программного обеспечения:

1. утвердить правила, обязывающие ответственных лиц лично присутствовать при установке обновлений ПО сторонними организациями;

2. разработать регламент, запрещающий сотрудникам своевольно устанавливать программное обеспечение на технические средства информационной системы;

г) разработать перечень правил доступа в защищаемое помещения:

1. утвердить правила доступа в защищаемые помещения в рабочие, выходные и праздничные дни;

2. утвердить перечень ситуаций и сотрудников, которые могут получить доступ в защищаемые помещения вопреки вышеуказанному перечню;

д) разработать перечень правил обращения со съемными носителями:

1. обеспечить хранение съемных носителей в металлических шкафах или сейфах, запирающихся на ключ с обязательным опечатыванием в конце рабочего дня;

2. обеспечить ведение журнала использования машинных носителей;

3. вести контроль и журналирование внесения и вынесения машинных носителей за пределы КЗ;

е) назначение лица, ответственного за обеспечение безопасности информации с наделением его соответствующими правами доступа к ресурсам ИС.

1. Выполнение набора мер техническими средствами защиты информации

В таблице 2.5 приведен набор мер, реализация которых осуществляется выбранными техническими средствами защиты информации.

Таблица 2.5 – Содержание мер по обеспечению безопасности информации и технических средств, их реализующих

1. Профиль системы защиты информации

Для информационной системы «Комитет» был подобран следующий список технических средств, имеющих необходимые сертификаты соответствия:

• средство от НСД Secret Net Studio;

• средство анализа защищенности XSpider 7.8.24;

• средство межсетевого экранирования VipNet Coordinator HW1000;

• средство межсетевого экранирования VipNet Administrator 3.2;

• средство межсетевого экранирования VipNet Client 3.2.

Часть мер по обеспечению безопасности информации, обрабатываемой в информационной системе, реализована за счет организационных мер, которые организации необходимо будет утвердить и довести до сотрудников. Организационные меры касаются следующего:

• учета электронных идентификаторов пользователей информационной системы;

• управления учетными записями пользователей ИС;

• контроля за установкой обновлений системного и программного обеспечения;

• доступа в защищаемое помещения;

• правил обращения со съемными носителями.

Настройку и установку подобранных технических средств защиты информации должен проводить специально обученный человек в присутствии администратора безопасности, либо сам администратор безопасности.

Характеристики

Список файлов ВКР