3 Диплом (1217856), страница 9

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 9)

4.1 Определение информационной безопасности. Виды угроз и каналы утечки информации

Довольно часто утечка информации о предприятии, его финансовом состоянии, конкурентоспособности и других важных показателях связана с сотрудниками компании, которые там работают, а также сотрудниками, которые были уволены.

Так как у информации растет значимость и ценность, важно понимать важность ее защиты.

Утечка или утрата информации привлечет к материальному ущербу. Ущерб от раскрытия конфиденциальной информации может выражаться в потере имущества, упущенной коммерческой выгоде, административной и уголовной ответственности, ухудшения климата в коллективе, вследствие раскрытия информации о заработной плате работников, о возможных кадровых изменениях и т.д.

Информационная безопасность - защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб субъектам информационных отношений.

Также можно рассмотреть еще одно понятие. Информационная безопасность – это процесс обеспечения конфиденциальности, целостности и доступности информации.

Рассматривая угрозы информационной безопасности, их можно разделить на два вида: естественные (объективные) и искусственные (субъективные). Естественные угрозы представляют собой такие угрозы, которые не связаны с деятельностью человека. Соответственно искусственные угрозы это те, которые непосредственно связаны с человеком и его деятельностью.

Так как умышленные угрозы зависят от человека, их разделяют на:

1. непреднамеренные угрозы – вред, который наносится несознательно;

2. преднамеренные (умышленные) угрозы – человек совершает вред сознательно.

Свое проявление умышленные угрозы могут проявляться внедрением злоумышленника в персонал, несанкционированное проникновение на территорию объекта, дистанционное наблюдение и воздействие.

Источники угроз можно разделить на внешние и внутренние. К источникам внутренних угроз относятся:

1. сотрудники организации;

2. программное обеспечение;

3. аппаратные устройства.

Внутренние угрозы могут себя проявлять как:

1. ошибки пользователей и администраторов системы;

2. нарушение работниками фирмы установленных норм сбора, обработки, передачи и уничтожения информации;

3. возможные ошибки в работе программного обеспечения.

Внешними источниками угроз являются:

1. вредоносные программы и компьютерные вирусы;

2. стихийные бедствия.

Также угроза информационной безопасности может возникнуть и со стороны конкурентов. Она может проявится в виде переманивания специалистов, внедрения своих специалистов в организацию.

Важной и серьезной угрозой будут являться уволенные сотрудники. Они могут предоставлять информацию конкурентам, или же создать сами предприятие-конкурент, с аналогичной деятельностью.

Что касается каналов утечки, то в основном они носят вид неумышленного раскрытия информации сотрудниками по причине слабой профилактической работы на предприятии, низкого уровня владения правилами работы с конфиденциальной информацией и не умением правильно определять степень ее конфиденциальности.

Каналы утечки информации можно разделить на четыре группы.

Первая группа – каналы, связанные с доступом к элементам системы обработки данных, но не требующие изменения компонентов системы.

Вторая группа – каналы, связанные с доступом к элементам системы и изменением структуры ее компонентов.

Третья группа – не законное подключение специальных регистрирующих аппаратур к линиям связи или устройствам системы, вывод из строя систем защиты.

Четвертая группа – несанкционированное получение информации путем подкупа должностных лиц, сотрудников, обслуживающего персонала.

Из всего выше сказанного следует, что проблему утечки информации нельзя решить каким - либо одним способом. Необходимо создание организационно-технической системы, позволяющий перекрыть каналы утечки конфиденциальной информации.

4.2 Уровни обеспечения информационной безопасности

Говоря об информационной безопасности, важно понимать, что обеспечение режима информационной безопасности является задачей комплексной. С одной стороны, информационная безопасность предполагает, во-первых, обеспечение трех ее составляющих - доступность, целостность и конфиденциальность данных. И уже с учетом этого проблему информационной безопасности следует рассматривать комплексно. Во-вторых, информацией и информационными системами в буквальном смысле «пронизаны» все сферы общественной деятельности, и влияние информации на общество все нарастает, поэтому обеспечение информационной безопасности также требует комплексного подхода.

Говоря об уровнях обеспечения информационной безопасности, их можно выделить три:

- законодательно-правовой;

- административный (организационный);

- программно-технический.

3аконодательно-правовой уровень включает комплекс законодательных и правовых актов, устанавливающих правовой статус субъектов информационных отношений, субъектов и объектов защиты, методы, формы и способы защиты. Кроме того, к этому уровню относятся стандарты и спецификации в области информационной безопасности.

Система законодательных актов и разработанных на их базе нормативных и организационно-распорядительных документов должна обеспечивать организацию эффективного надзора за их исполнением со стороны правоохранительных органов и реализацию мер судебной защиты и ответственности субъектов информационных отношений. К этому уровню можно отнести и морально-этические нормы поведения, которые сложились традиционно или складываются по мере распространения вычислительных средств в обществе. Морально-этические нормы могут быть регламентированными в законодательном порядке, т.е. в виде свода правил и предписаний. Наиболее характерным примером таких норм является Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США. Тем не менее, эти нормы большей частью не являются обязательными как законодательные меры.

Административный уровень включает комплекс мероприятий и технических мер, реализующих практические механизмы защиты в процессе создания и эксплуатации систем защиты информации. Организационный уровень должен охватывать все структурные элементы систем обработки данных на всех этапах их жизненного цикла: строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и проверки, эксплуатация.

Программно-технический уровень включает три подуровня:

1. физический;

2. технический (аппаратный);

3. программный.

Физический подуровень решает задачи с ограничением физического доступа к информации и информационным системам, соответственно к нему относятся технические средства, реализуемые в виде автономных устройств и систем, не связанных с обработкой, хранением и передачей информации: система охранной сигнализации, система наблюдения, средства физического воспрепятствования доступу (замки, ограждения, решетки и т. д.).

Средства защиты аппаратного и программного подуровней непосредственно связаны с системой обработки информации. Эти средства либо встроены в аппаратные средства обработки, либо сопряжены с ними по стандартному интерфейсу. К аппаратным средствам относятся схемы контроля информации по четности, схемы доступа по ключу и т.д. К программным средствам защиты, образующим программный подуровень, относятся специальное программное обеспечение, используемое для защиты информации, например, антивирусный пакет и т.д. Программы защиты могут быть как отдельные, так и встроенные. Так, шифрование данных можно выполнить встроенной в операционную систему файловой шифрующей системой EFS (Windows 2000, ХР) или специальной программой шифрования.

Формирование режима информационной безопасности является сложной системной задачей, решение которой в разных странах отличается по содержанию и зависит от таких факторов, как научный потенциал страны, степень внедрения средств информатизации в жизнь общества и экономику, развитие производственной базы, общей культуры общества и, наконец, традиций и норм поведения.

4.3 Обеспечение информационной безопасности на примере ООО «Дальрео»

Обеспечение информационной безопасности должно достигаться за счет комплексного использования всей совокупности организационно-режимных, инженерно-технических, технических, программных методов и средств защиты информации, а также осуществления непрерывного, всестороннего контроля за эффективностью реализованных мер по обеспечению безопасности информации.

Принятые меры по обеспечению информационной безопасности должны обеспечивать эффективную защиту информации на протяжении всего жизненного цикла.

В свое работе я буду рассматривать информационную безопасность, взяв за основу ООО «Дальрео».

В своем составе общество имеет следующие активы:

1. бухгалтерская и финансовая отчетность;

2. клиентская база; информация о контрагентах;

3. информация о предоставляемых услугах.

Основными целями информационной безопасности ООО «Дальрео» являются:

-обеспечение защищенности интересов общества от проявления угроз в информационной сфере путем создания условий ее деятельности, препятствующих проявлению недопустимых (неприемлемых) рисков. Защищенность достигается обеспечением совокупности свойств информационной безопасности - конфиденциальностью, целостностью, доступностью информационных активов и инфраструктуры;

-обеспечение антитеррористической и противокриминальной защищенности объектов обществаза счет реализации единой политики в области инженерно-технической защиты и охраны объектов, а также создания Комплексной системы обеспечения безопасности объектов.

Для защиты информационных ресурсов коммерческого предприятия, а именно ООО «Дальрео», от несанкционированного доступа и неправомерного их использования, на основе ФЗ «О коммерческой тайне», работниками общества был определен перечень информации, который представляет коммерческую тайну; утвержден перечень лиц, которые допущены к работе с документами и информацией, отнесенной к коммерческой тайне; также сотрудниками подписан договор о неразглашении коммерческой тайны.

Согласно перечисленным условиям, доступ в сеть Интернет ООО «Дальрео» организуется через собственный интернет узел, который осуществляет фильтрацию, контроль трафика и имеет средства защиты обеспечивающих безопасность Интернет-узла и автоматизированной системы (АС) общества.

Контроль за доступом пользователей к сети интернет, их работой, почтовыми подразделениями осуществляет главный системный администратор, который является ответственным за организацию работы интернет узла. Также сюда можно отнести и других главных ответственных:

1) Генеральный директор ООО «РН-Востокнефтепродукт»;

2) Заместитель генерального директора ООО «РН-Востокнефтепродукт» по безопасности;

3) Начальник отдела экономической и информационной безопасности ООО «РН-Востокнефтепродукт»

4) Специалисты отдела экономической и информационной безопасности ООО «РН-Востокнефтепродукт»

Также следует уделить внимание организации парольной защиты компьютеров пользователей. Пользователь обязан самостоятельно назначать личный пароль с учетом соблюдения следующих небольших правил:

1. Минимальная длинна пароля, должна составлять 7 символов;

2. Максимальный срок действия пароля 90дней;

3. Минимальный срок действия пароля 7 дней.

Все пароли пользователей общества, должны держаться в тайне, так же не допускается использование одинаковых паролей для различных учетных записей. Утрата или разглашение пароля, создает предпосылки каналов утечки информации.

Что касается программного обеспечения, в ООО «Дальрео», разрешено к установке следующее основное программное обеспечение:

-Microsoft Office Базовая версия (в составеWord, Excel, Outlook) 2003 EN; RU

-Microsoft Office Базовая версия (в составеWord, Excel, Outlook) 2007 EN; RU

- Архиватор 7–Zip 15.12 RU

-Антивирус Касперского 6.0 для WindowsWorkstations, включая Агент администрирования Лаборатории КасперскогоKaspersky Endpoint Security 8 Kaspersky Endpoint Security 10

- Пакет обеспечения совместимости Microsoft Office 2003 для форматов файловWord, Excel и PowerPoint 2007 версия 4; RU

- Программа «1С: бухгалтерия».

Таким образом, ООО «Дальрео» комплексно подходит к вопросу информационной безопасности, системе защиты своих информационных ресурсов, контролирует чтобы выполнялись все требования по предотвращению защиты информации. При четком выполнении всех указаний и инструкций информационная безопасность общества будет осуществляться довольно на высоком уровне.

29

Характеристики

Список файлов ВКР