Диплом (1213614), страница 10

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 10)

Целью защиты информации является сведение к минимуму потерь в управлении, вызванных нарушением целостности данных, так же их недоступности или конфиденциальности информации для потребителей.

Приведенная совокупность определений достаточна для формирования общего взгляда на построение системы информационной безопасности.

Угрозы информационной безопасности.

Основные типы угроз информационной безопасности:

• Угрозы доступности – блокирование или ограничение доступа к данным (например, невозможность подключится к серверу с базой данных в результате DDoS-атаки).

• Угрозы конфиденциальности – несанкционированный доступ к данным (например, получение посторонними лицами сведений о состоянии счетов клиентов банка).

• Угрозы целостности – несанкционированная модификация, уничтожение или дополнение данных (например, внесение изменений в бухгалтерские проводки с целью хищения денежных средств).

Источники угроз:

1. Внутренние:

• ошибки пользователей и сисадминов;

• ошибки в работе ПО;

• сбои в работе компьютерного оборудования;

• нарушение сотрудниками компании регламентов по работе с информацией.

2. Внешние угрозы:

• несанкционированный доступ к информации со стороны заинтересованных организаций и отдельных лиц (промышленный шпионаж конкурентов, сбор информации спецслужбами, атаки хакеров и т.п.);

• компьютерные вирусы и иные вредоносные программы;

• стихийные бедствия и техногенные катастрофы (например, ураган может нарушить работу телекоммуникационной сети, а пожар уничтожить сервера с важной информацией).

Методы обеспечения безопасности информации в ИС:

Препятствие - физическое преграждение пути злоумышленнику к защищаемой информации (например, коммерчески важная информация хранится на сервере внутри здания компании, доступ в которое имеют только ее сотрудники).

Управление доступом – регулирование использования информации и доступа к ней за счет системы идентификации пользователей, их опознавания, проверки полномочий и т.д. (например, когда доступ в отдел или на этаж с компьютерами, на которых хранится секретная информация, возможен только по специальной карточке - пропуску. Либо когда каждому сотруднику выдается персональный логин и пароль для доступа к базе данных предприятия с разными уровнями привилегий).

Криптография – это шифрование информации с помощью специальных алгоритмов (например, шифрование данных при их пересылке по Интернету; или использование электронной цифровой подписи).

Противодействие атакам вредоносных программ (англ. «malware») –подразумевает применение внешних накопителей информации только от проверенных источников, брандмауэров, антивирусных программ, регулярное выполнение резервного копирования важных данных и т.д. (вредоносных программ множество и они делятся на ряд классов: вирусы, трояны, логические бомбы, эксплойты, сетевые черви и т.п.).

Регламентация – это создание условий по обработке, хранению и передачи информации, в наибольшей степени обеспечивающих ее защиту (специальные стандарты и нормы для персонала по работе с информацией, например, запрещающие использование собственных флеш-накопителей, так же в определенные числа делать резервную копию электронной документации, и т.д.).

Принуждение – является установление правил по работе с информацией, нарушение которых наказывается материальной, административной или даже уголовной ответственностью (штрафы, закон «О коммерческой тайне» и т.п.).

Побуждение – это призыв к персоналу не нарушать установленные порядки по работе с информацией, так как это противоречит сложившимся этическим и моральным нормам (например, Кодекс профессионального поведения членов «Ассоциации пользователей ЭВМ»).

Средства защиты информации:

• Технические (аппаратные) средства – такими средствами являются сигнализация, электронные ключи, генераторы помех воспрепятствования передаче данных по радиоканалам, решетки на окнах и т.д.

• Программные средства – программы-шифровальщики данных, антивирусы, системы аутентификации пользователей и т.п.

• Смешанные средства – комбинация аппаратных и программных средств.

• Организационные средства – это регламенты, правила работы, законодательные акты в сфере защиты информации, так же подготовка помещений с компьютерной техникой и прокладка сетевых кабелей с учетом требований по ограничению доступа к информации.

Что можно отнести к организационным мероприятиям по защите ценной информации:

• Требование от сотрудников в перерывах выключать компьютер или использовать специальные программы – хранители экранов, которые позволяют стереть информацию с экрана монитора и закрыть паролем возможность снятия режима хранителя экрана.

• Ограничение доступа в помещения посторонних лиц или сотрудников других подразделений. Совершенно необходимо запирать и опечатывать помещения при сдаче их под охрану после окончания работы.

• Жёсткое ограничение круга лиц, имеющих доступ к каждому компьютеру. Выполнение данного требования является самым трудным, поскольку довольно часто нет средств на покупку ПК для каждого сотрудника.

4.2 Информационная безопасность Локомотивного депо

В настоящее время система обеспечения информационной безопасности (СОИБ) Локомотивного депо представляет собой сложную организационно-техническую систему, предназначенную для обеспечения защиты информации и информационной инфраструктуры от влияний, которые могут нанести неприемлемый ущерб Локомотивному депо вследствие утраты целостности, доступности и конфиденциальность информации.

К главным объектам защиты информации в Локомотивном депо относятся:

• программно-технические комплексы и система управления единой магистральной цифровой сетью связи (ЕМЦСС);

• системы управления автоматических телефонных станций оперативно-технологической и обще технологических сетей;

• программно-технические комплексы и система управления сети передачи данных;

• отдельные автоматизированные рабочие места (АРМ) и локальные вычислительные сети (ЛВС), в том числе задействованные в технологических процессах;

• серверные сегменты информационных систем и автоматизированных систем управления;

• программно-технические комплексы поддержания специализированных баз данных;

• системы документооборота.

Угрозы так же делятся на внешние и внутренние.

Внешние угрозы включают в себя:

• естественные (атмосферные явления, стихийные бедствия, катастрофы, аварии);

• не естественные - можно отнести противоправную деятельность конкурентов, фирм и частных лиц, занимающихся мошенничеством либо промышленным шпионажем , несостоятельных деловых партнеров, ранее уволенных за различные проступки сотрудников предприятия.

Внутренние угрозы

К внутренним угрозам относятся действия или бездействия (в том числе умышленные и неумышленные) сотрудников предприятия, противоречащие интересам его коммерческой деятельности, следствием которых могут быть нанесение экономического ущерба компании, утечка или утрата информации (в том числе сведений, составляющих коммерческую тайну и/или конфиденциальную информацию),

Пользователи (сотрудники):

• Мошенничество с целью завладения активами компании;

• Фальсификация отчетности с целью присвоения денежных средств;

• Хищение имущества в особо крупных размерах путем закупки сырья по завышенным ценам, предоставления льгот партнерам и т.п.;

• Получение откатов за заключение невыгодных для компании сделок;

• Предоставление или продажа конкурентам информации, являющейся коммерческой тайной предприятия. Ее использование конкурентами способно нанести значительный, а то и катастрофический ущерб;

• Воровство продукции, сырья, ресурсов, комплектующих;

• Воровство финансовых средств;

• Воровство информационных ресурсов;

• Нецелевое и несанкционированное использование техники, оборудования, транспорта, информационно-вычислительных средств и пр.;

• Продажа сведений, составляющих коммерческую тайну предприятия;

• Оказание помощи посторонним в совершении противоправных действий на предприятии с целью нанесения ущерба;

• Умышленный вывод из строя техники, оборудования, информационных ресурсов, порча сырья и пр. за вознаграждение по заказу третьих лиц.

Технические:

• Отказы и сбои аппаратуры:

• Помехи на линиях связи от воздействие внешней среды;

• Ошибки человека;

• Схемные и системотехнические ошибки разработчиков;

• Структурные, алгоритмические и программные ошибки;

• Аварийные ситуации и другие воздействия.

Человеческий фактор:

• внедрение аппаратных и программных закладок;

• получение несанкционированного доступа к информации;

• преднамеренное нарушение работоспособности информационных систем.

Основными целями создания и функционирования СОИБ являются обеспечение защиты информации, внедрение и эксплуатация технических подсистем, средств и комплексов обеспечения информационной безопасности, обеспечение доступности соответствующих категорий информации для пользователей Локомотивного депо, других организаций и частных лиц, а также аудит уровня информационной безопасности Локомотивного депо.

Непосредственная работа по обеспечению информационной безопасности на сети железных дорог и филиалов Локомотивного депо проводится специалистами отделов защиты информации региональных центров безопасности - структурных подразделений Локомотивного депо.

Разработка нормативной базы по информационной безопасности осуществляется на основе действующего законодательства Российской Федерации (ФЗ «О персональных данных», ГОСТ 51275-99, ГОСТ Р 51624-2000, ГОСТ Р 51583-2000 и др.), в том числе нормативных актов, гармонизированных с международными стандартами (например, ИСО/МЭК 15408 - 2002 и др.), а также нормативных актов ФСТЭК и ФСБ России.

Среди ключевых направлений формирования нормативной базы следует выделить разработку:

• комплекса политик информационной безопасности различного уровня;

• профилей защиты автоматизированных систем (АС) Локомотивного депо и отдельных объектов информатизации;

• документов, обеспечивающих соблюдение режима защиты информации, которая составляет коммерческую тайну;

• регламентов взаимодействия различных информационных систем, в том числе принадлежащих внешним пользователям;

• организационно-методических документов, регламентирующих использование информационных ресурсов.

В качестве примеров нормативных актов, действующих в Локомотивном депо, можно привести «Перечень сведений, составляющих коммерческую тайну Локомотивного депо, «Инструкцию о порядке обращения с информацией, составляющей коммерческую тайну Локомотивного депо, распоряжение «Об организации работ по предотвращению записи, хранения и распространения информации и программных продуктов непроизводственного характера» с «Примерным перечнем категорий информации и программных продуктов» и «Примерным порядком организации создания корпоративных WEB-сайтов, FTP-серверов, конференций», «Порядок подключения пользователей к информационным ресурсам Локомотивного депо, «О внедрении электронной цифровой подписи в Локомотивном депо и др.

Структура технической составляющей СОИБ во многом определяется архитектурой корпоративной инфотелекоммуникационной сети Локомотивного депо, она объединяет информационные ресурсы и технические средства обработки и передачи информации центрального аппарата, железных дорог и других филиалов Локомотивного депо.

В настоящее время усилиями сотрудников подразделений и филиалов Локомотивного депо, подрядных организаций внедрены и успешно работают комплексы обеспечения информационной безопасности основных объектов защиты. Основу этих комплексов составляют типовые модули, включающие в свой состав средства межсетевого экранирования и фильтрации сообщений, шифрования, обнаружения вторжений, разграничения и ограничения доступа, аутентификации и идентификации.

Высокое внимание уделяется созданию системы управления информационной безопасностью, предназначенной для категорирования информации компании, формирования требований к уровню безопасности информации в телекоммуникационных и информационных системах, мониторинга информационной безопасности.

Модель защиты информационной безопасности Локомотивного депо.

Ниже приведены основные правила безопасности:

Защита компьютера с помощью антивирусных программ и программ безопасной работы в интернете. Для этого:

• Обязательно установить Антивирус;

• Регулярно обновлять сигнатуры угроз, входящие в состав программы. Обновление можно проводить несколько раз в день при возникновении вирусных эпидемий;

• Задать рекомендуемые экспертами параметры защиты вашего компьютера. Постоянная защита начинает действовать сразу после включения компьютера и затрудняет вирусам проникновение на компьютер;

• Задать представляемые экспертами параметры для полной проверки компьютера и запланируйте ее выполнение не реже одного раза в неделю. Если вы не установили компонент Фаервол, рекомендуется сделать это, чтобы защитить компьютер при работе в интернете.

Так же следует быть осторожным при записи новых данных на компьютер:

• Проверять на присутствие вирусов все съемные диски (дискеты, CD-диски, флеш-карты и пр.) перед их использованием;

• Осторожно обращаться с почтовыми сообщениями. Не запускать никаких файлов, пришедших по почте, если вы не уверены, что они действительно должны были прийти именно к вам, даже если они отправлены вашими знакомыми;

• Внимательно относится к информации, получаемой из интернета. Если с какого-либо веб-сайта предлагается установить новую программу, обратить внимание на наличие у нее сертификата безопасности;

• При копировании из интернета или локальной сети, осуществляемый файл, обязательно проверить его с помощью Антивируса;

• Внимательно относится к выбору посещаемых вами Интернет-ресурсов. Некоторые из сайтов заражены опасными вирусами или интернет-червями.

Во многих случаях в Интернете сообщают о начале новой эпидемии задолго до того, как она достигнет своего пика. Возможность заражения в этом случае еще невелика, и, скачав обновленные сигнатуры угроз, возможно защитить себя от нового вируса заранее:

• С недоверием относится к вирусным мистификациям - программам-шуткам, письмам об угрозах заражения.

• Пользоваться сервисом Windows Update и регулярно устанавливать обновления операционной системы Microsoft Windows.

• Покупать оригинальные копии программного обеспечения у официальных продавцов.

Так же что бы уменьшить риск неприятных последствий возможного заражения, применяются следующие методы:

• Своевременно делать резервное копирование данных. В случае потери данных система достаточно быстро может быть восстановлена при наличии резервных копий. Дистрибутивные диски, дискеты, флеш-карты и другие носители с программным обеспечением и ценной информацией должны храниться в надежном месте;

• Обязательно создать диск аварийного восстановления, с которого при необходимости можно будет загрузиться, используя "чистую" операционную систему.

• Постоянно просматривать список установленных программ на компьютере, для этого можно воспользоваться пунктом Установка/удаление программ в Панели инструментов или просто просмотреть содержимое каталога Program Files, каталога автозагрузки.

Таким образом, можно обнаружить программное обеспечение, которое было установлено на компьютер без вашего ведома, пока вы, например, пользовались интернетом или устанавливали некоторую программу.

Реализация политики безопасности заключается в реализации технических средств и средств непосредственного контроля, а так же в подборе штата безопасности. Могут потребоваться изменения в конфигурации систем, находящихся вне компетенции отдела безопасности, поэтому в проведении программы безопасности должны участвовать системные и сетевые администраторы.

Характеристики

Список файлов ВКР