Вы находитесь на странице: 1из 53

Введение

Цель курсового проекта – моделирование комплекса требований к


подсистемам безопасности для автоматизированной системы организации.
Разработанный комплекс требований безопасности АС организации должен
определять основные положения в области защиты информации и создавать
единую систему различных мер и средств, обеспечивающих защищенность
организации в информационной сфере.
Основными задачами курсового проекта являются: описание объекта
информационной безопасности включая его инфологическую и структурную
модель, бизнес процессы, цели и задачи. Определение уязвимостей, рисков и
угрозы безопасности информации. А также разработка требований к комплексу
защитных мероприятий в целях обеспечения полной защиты объекта
(технические и организационные мероприятия по переоборудованию объекта
защиты, оценки и расчеты, план помещения и его переоборудования

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
1. Теоретическая часть
1.1 Подсистема безопасности и ее роль в обеспечении
информационной безопасности автоматизированной
системы. Цели и задачи подсистемы безопасности

Защита информации от несанкционированного доступа (ЗИ от НСД) на


объектах информатизации (ОИ) представляет собой важную составляющую
обеспечения безопасности информации на ОИ. Несмотря на то что требования к
защите информации определенного уровня конфиденциальности от НСД
закреплены законодательно, при ЗИ от НСД, в отличие от других факторов
обеспечения безопасности информации (например, таких, как ЗИ от утечки по
техническим каналам), применяется более творческий подход к построению
системы защиты. В настоящее время в зависимости от типа ОИ и его структуры
для обеспечения ЗИ от НСД могут применяться следующие классы средств
защиты:
 средства аппаратной идентификации;
 средства антивирусной защиты;
 средства обнаружения вторжений;
 межсетевые экраны;
 программные и программно-аппаратные средства защиты информации
от несанкционированного доступа (СЗИ от НСД);
 средства шифрования.
Построение комплекса по ЗИ от НСД на каждом конкретном ОИ начинается
с построения модели информационного документооборота ОИ.
Проводится изучение информационных потоков на ОИ, определяются
риски и основные угрозы информации на всех этапах ее хранения, обработки и
передачи на ОИ.
На основании полученной информации строится матрица доступа к

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
информации, обрабатываемой на ОИ, а также схема информационных потоков.
Затем на основании собранных об ОИ сведений строится модель комплекса СЗИ
от НСД для исследуемого ОИ.
Чаще всего на автоматизированных рабочих местах (АРМ) в составе ОИ
применяются программные или программно-аппаратные СЗИ от НСД. В
зависимости от того, имеются ли у АРМ в составе ОИ сетевые подключения,
принимается решение о применении средств межсетевого экранирования, а
также средств обнаружения вторжений. Основную же роль в обеспечении
безопасности на ОИ играют СЗИ от НСД. В данный момент на рынке средств
защиты предлагается обширный выбор СЗИ от НСД, основными из которых
являются «Аккорд», «Страж», Secretnet и Dallaslock.
Каждое из приведенных средств отличается своими особенностями в
работе. В связи с тем что все эти средства имеют действующие сертификаты
соответствия Федеральной службы технического и экспортного контроля
(ФСТЭК) России по защите информации на автоматизированных системах (АС)
до класса 1Б включительно, положительно или отрицательно оценивать их
можно по двум критериям: удобство в работе для пользователя; удобство и
прозрачность настройки.
Согласно руководящему документу «Автоматизированные системы. Защита
от несанкционированного доступа к информации. Классификация
автоматизированных систем и требования по защите информации» СЗИ от НСД
должно обеспечивать безопасность информации с помощью следующих четырех
основных подсистем:
 идентификации и аутентификации;
 регистрации и учета;
 криптографической защиты;
 контроля целостности.
Подсистема идентификации и аутентификации предоставляет и
контролирует доступ к работе на АРМ ОИ пользователей. В зависимости от

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
уровня конфиденциальности информации и от класса АС, на которой эта
информация обрабатывается, могут применяться разные методы идентификации
и аутентификации. Одним из самых надежных методов является аппаратная
идентификация с последующей аутентификацией по паролю определенной
длины и сложности в зависимости от класса АС. К основным задачам
подсистемы регистрации и учета относятся: ведение журнала всех действий
пользователя на АРМ АС; фиксация в журнале попыток НСД пользователя к
ресурсам, доступ к которым ему запрещен; учет всех носителей информации.
Самым уязвимым местом работы АС являются съемные носители. Связано
это в первую очередь с тем, что для удобной работы пользователи часто
пренебрегают некоторыми принципами защиты информации и начинают
применять съемные носители разного рода и происхождения. При этом
возникает риск заражения АРМ АС компьютерными вирусами, а также риск
утечки информации с использованием незарегистрированных носителей. На
устранение данной угрозы и направлена работа подсистемы регистрации и учета
СЗИ от НСД. Чаще всего в СЗИ жестко фиксируются набор носителей по их
заводским номерам, определяемым при подключении к АРМ, и список
атрибутов по доступу к ним. Это позволяет избежать несанкционированного
копирования информации и, как результат, утечки ее с использованием
сторонних носителей. Кроме того, удается избежать заражения АРМ АС
компьютерными вирусами. Однако при настройке данной подсистемы
необходимо тщательно изучить процесс работы пользователей АС, так как
жесткая настройка без учета тонкостей циркуляции информации может привести
к значительному ухудшению удобства применения СЗИ от НСД конечными
пользователями и, как результат, к новым попыткам НСД. Подсистема
криптографической защиты преобразовывает информацию, обрабатываемую в
АС, с помощью известных надежных криптографических алгоритмов.
Применение данной подсистемы определяется не только классом АС, но и
тем, как циркулирует информация на АС. Чаще всего информация

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
зашифровывается при передаче по сети, реже — при ее сохранении на съемные
носители. Основной задачей подсистемы контроля целостности является
сохранение работоспособности как программной, так и аппаратной части АС.
Причем все требования, предъявляемые к АС в руководящем документе
«Автоматизированные системы. Защита от несанкционированного доступа к
информации.
Классификация автоматизированных систем и требования по защите
информации», СЗИ от НСД реализовать не в состоянии. В частности, они не
могут реализовать требования физической охраны средств АС и наличия
администратора безопасности. В обязанности СЗИ от НСД входят подсчет
контрольных сумм программного обеспечения АС и контроль аппаратной
конфигурации АС. В случае несовпадения контрольных сумм и (или) изменения
аппаратной конфигурации компьютера работа текущего пользователя
блокируется. Контроль проводится в два этапа.
По завершении работы пользователя СЗИ от НСД вычисляет контрольные
суммы программ и сохраняет аппаратную конфигурацию АС.
При следующем включении АРМ АС на этапе загрузки операционной
системы и СЗИ от НСД контрольные суммы и аппаратная конфигурация
сравниваются с эталонными значениями.
По результатам сравнения принимается решение о возможности
дальнейшей работы пользователя на АС. Из вышесказанного можно сделать
следующий вывод: настройка СЗИ от НСД зависит от многих факторов, и только
грамотный учет всех тонкостей работы с информацией на АС, а также анализ
угроз безопасности информации и соблюдение требований руководящих
документов обеспечивают ЗИ от НСД в АС и, что немаловажно, удобную,
комфортную работу пользователей.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
1.2 Функционирование элементов подсистемы
безопасности АС

Конечной целью создания системы обеспечения безопасности


информационных технологий является предотвращение или минимизация
ущерба (прямого или косвенного, материального, морального или иного),
наносимого субъектам информационных отношений посредством
нежелательного воздействия на информацию, ее носители и процессы
обработки.
Основной задачей системы защиты является обеспечение необходимого
уровня доступности, целостности и конфиденциальности компонентов
(ресурсов) АС соответствующими множеству значимых угроз методами и
средствами.
Обеспечение информационной безопасности – это непрерывный процесс,
основное содержание которого составляет управление, - управление людьми,
рисками, ресурсами, средствами защиты и т.п. Люди – обслуживающий
персонал и конечные пользователи АС, - являются неотъемлемой частью
автоматизированной (то есть «человеко-машинной») системы. От того, каким
образом они реализуют свои функции в системе, существенно зависит не только
ее функциональность (эффективность решения задач), но и ее безопасность.
Обеспечение безопасности – это процесс управления рисками. Это означает,
что система защиты  – это система управления, реализующая технологию
обеспечения безопасности (управления безопасностью).
Любая технология предусматривает определенный набор операций и
процессов взаимодействия их исполнителей, направленный на достижение
конечного результата (цели).
Уровень информационной безопасности организации существенно зависит
от деятельности следующих категорий сотрудников и должностных лиц
организации:

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
 сотрудников структурных подразделений (конечных пользователей АС),
решающих свои функциональные задачи с применением средств автоматизации;
 программистов, осуществляющих разработку (приобретение и
адаптацию) необходимых прикладных программ (задач) для автоматизации
деятельности сотрудников организации;
 сотрудников подразделения внедрения и сопровождения ПО,
обеспечивающих нормальное функционирование и установленный порядок
инсталляции и модификации прикладных программ (задач);
 сотрудников подразделения эксплуатации ТС, обеспечивающих
нормальную работу и обслуживание технических средств обработки и передачи
информации и системного программного обеспечения;
 системных администраторов штатных средств защиты (ОС, СУБД и т.п.);
 сотрудников подразделения защиты информации, оценивающих
состояние информационной безопасности, определяющих требования к системе
защиты, разрабатывающих организационно-распорядительные документы по
вопросам ОИБ (аналитиков), внедряющих и администрирующих
специализированные дополнительные средства защиты (администраторов
безопасности);
 руководителей организации, определяющих цели и задачи
функционирования АС, направления ее развития, принимающих стратегические
решения по вопросам безопасности и утверждающих основные документы,
регламентирующие порядок безопасной обработки и использования
защищаемой информации сотрудниками организации.
На информационную безопасность организации могут оказывать влияние
посторонние лица и сторонние организации, предпринимающие попытки
вмешательства в процесс нормального функционирования АС или
несанкционированного доступа к информации как локально, так и удаленно.
Обслуживающий персонал и пользователи, как неотъемлемая часть АС,
сами являются источником внутренних угроз информационной безопасности

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
организации и одновременно могут являться частью системы защиты АС.
Поэтому одним из основных направлений ОИБ является регламентация действий
всех пользователей и обслуживающего персонала АС, целями которой являются:
 сокращение возможностей лиц из числа пользователей и персонала по
совершению нарушений (как неумышленных, так и преднамеренных);
 реализацию специальных мер противодействия другим внутренним и
внешним для системы угрозам (связанным с отказами и сбоями оборудования,
ошибками в программах, стихийными бедствиями и действиями посторонних
лиц, не являющихся частью АС).
Регламентация предусматривает введение таких ограничений и внедрение
таких приемов работы сотрудников, которые, не создавая помех для исполнения
ими своих функциональных обязанностей (технологических функций),
минимизируют возможности совершения ими случайных или преднамеренных
нарушений (например, наделение каждого сотрудника (пользователя)
минимально необходимыми для выполнения им своих обязанностей
полномочиями по доступу к ресурсам АС).
Кроме того, чтобы персонал и пользователи как часть системы безопасности
АС реализовали свои «защитные возможности», регламентации подлежат
вопросы исполнения ими дополнительных специальных обязанностей
(функций), связанных с усилением режима информационной безопасности. Так,
для защиты от действий посторонних лиц и «подкрепления» вводимых
ограничений на действия своих сотрудников на компьютерах АС могут
применяться средства защиты, работающие на физическом, аппаратном или
программном уровне. Применение таких средств защиты требует регламентации
вопросов их использования конечными пользователями и процессов их
администрирования сотрудниками подразделений автоматизации и обеспечения
информационной безопасности.
С учетом всего сказанного выше, можно сделать выводы:
 к обеспечению безопасности информационных технологий

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
организации(и в определенной степени к управлению ее информационной
безопасностью) должны привлекаться практически все сотрудники,
участвующие в процессах автоматизированной обработки информации, и все
категории обслуживающего АС персонала;
 за формирование системы защиты и реализацию единой политики
информационной безопасности организации и осуществление контроля и
координации действий всех подразделений и сотрудников организации по
вопросам ИБ должно непосредственно отвечать специальное подразделение
(служба) защиты информации (обеспечения информационной безопасности);
 в силу малочисленности данного подразделения решение им многих
процедурных вопросов и эффективный контроль за соблюдением всеми
сотрудниками требований по ОИБ возможны только при назначении во всех
подразделениях, эксплуатирующих подсистемы АС, нештатных помощников -
ответственных за обеспечение информационной безопасности.
Эффективное использование штатных (для ОС и СУБД) и дополнительных
средств защиты обеспечивается как системными администраторами и
администраторами средств защиты, так и системными администраторами,
преимущественно .входящими в штат подразделений автоматизации.
Администраторы дополнительных средств защиты, как правило, являются
сотрудниками подразделения защиты информации.
Таким образом, организационную структуру системы обеспечения
информационной безопасности АС организации можно представить в виде
совокупности следующих уровней:
 уровень 1 – руководство организации;
 уровень 2 – подразделение информационной безопасности;
 уровень 3 – администраторы штатных и дополнительных средств
защиты;
 уровень 4 – ответственные за ОИБ в подразделениях (на
технологических участках);

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
 уровень 5 – конечные пользователи и обслуживающий персонал.
При этом, среди основных функций подразделений по защите информации
можно назвать:
 формирование требований к системе защиты в процессе создания
(развития) АС организации;
 определение потребностей в защите конкретных ресурсов АС,
разработка (совершенствование), согласование и утверждение у руководства
политики безопасности и требований к системе ЗИ;
 разработка, проведение мероприятий и координация действий всех
подразделений и сотрудников по реализации утвержденной политики
безопасности, созданию и эффективному применению комплексной системы
защиты;
 контроль за исполнением регламентов и процедур обеспечения
безопасности, оценка эффективности и достаточности принятых мер
(применяемых процедур и средств ЗИ);
 участие в проектировании системы защиты, ее испытаниях и приемке в
эксплуатацию;
 планирование, организация и обеспечение функционирования системы
защиты информации в процессе функционирования АС;
  распределение между пользователями необходимых реквизитов защиты;
 наблюдение за функционированием системы защиты и ее элементов;
 организация проверок надежности функционирования системы защиты;
 обучение пользователей и персонала АС правилам безопасной обработки
информации;
 регламентация действий и контроль за администраторами баз данных,
серверов и сетевых устройств (за сотрудниками, обеспечивающими
правильность применения имеющихся в составе ОС, СУБД и т.п. средств
разграничения доступа и других средств защиты информации);

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
 взаимодействие с ответственными за безопасность информации в
подразделениях организации;
 контроль за соблюдением пользователями и персоналом АС
установленных правил обращения с защищаемой информацией в процессе ее
автоматизированной обработки;
 принятие мер при попытках НСД к информации и при нарушениях
правил функционирования системы защиты.
В итоге можно определить следующие уровни (роли) по управлению
информационной безопасностью в организации:
1.  Уровень принятия решений 
Руководство организации - принимает стратегические решения по вопросам
автоматизации и ОИБ, утверждает основные документы, регламентирующие
порядок функционирования и развития АИС, обеспечивающий безопасную
обработку и использование защищаемой информации.
Руководители и специалисты ИТ-подразделений, технической защиты
информации, начальники служб безопасности, руководители и специалисты
служб экономической безопасности
Руководители организации и подразделений ИБ и ИТ определяют
критичность процессов, ресурсов и требуемую степень их защиты, а также
координирует управление и распределение обязанностей служб ИБ и ИТ
2. Уровень подготовки информации для принятия решений 
Аудиторы и аналитики по вопросам безопасности ИТ
Аналитики подразделений ИБ и ИТ отвечают за анализ состояния
безопасности ИТ, определение требований к защищенности различных
подсистем АИС и выбор методов и средств защиты, разрабатывают регламенты
(политику ИБ)
3. Уровень организации и контроля исполнения решений 
Системные и сетевые администраторы, администраторы серверов,
приложений, баз данных и т.п. отвечают за эффективное их применение

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
штатных средств защиты и разграничения доступа всех используемых ОС и
СУБД
Администраторы дополнительных средств защиты, контроля и управления
безопасностью отвечают за эффективное применение специализированных
средств защиты (влияют на безопасность и персонал через средства защиты),
администраторы безопасности
Менеджеры, ответственные за работу с персоналом по вопросам ОИБ
4. Уровень поддержки исполнения политики ИБ
Ответственные за обеспечение безопасности ИТ в подразделениях (на
технологических участках) – это посредники между малочисленным
подразделением безопасности и многочисленными пользователями (это
«представители ИБ» на местах). Основные функции ответственных за
обеспечение безопасности ИТ – эффективная поддержка реализации
разработанных подразделением безопасности и утверждённых руководством
регламентов.
5. Уровень исполнения политики ИБ (сотрудники) 
Сотрудники структурных подразделений (конечные пользователи системы
и обслуживающий персонал, работающие со средствами автоматизированной
обработки информации), которые решают свои функциональные задачи с
применением средств автоматизации. 
Все руководители и специалисты, включая подразделения ИБ и ИТ, при
работе в АИС также являются конечными пользователями.

1.3 Основные принципы построения систем защиты АС

Создание системы защиты информации (СЗИ) не является главной задачей


предприятия, как, например, производство продукции и получение прибыли.
Поэтому создаваемая СЗИ не должна приводить к ощутимым трудностям в
работе предприятия, а создание СЗИ должно быть экономически оправданным.
Тем не менее, она должна обеспечивать защиту важных информационных

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
ресурсов предприятия от всех реальных угроз.
Проблемы защиты информации не относятся исключительно к информации,
обрабатываемой компьютером, который является «ядром», центром хранения
информации.
Объект информатизации, по отношению к которому направлены действия
по защите информации, представляется более широким понятием по сравнению
с персональным компьютером. ГОСТ РФ 51275-99 «Защита информации. Объект
информатизации. Факторы, воздействующие на информацию» определяет
объект информатизации как «совокупность информационных ресурсов, средств
и систем обработки информации, используемых в соответствии с заданной
информационной технологией, средств обеспечения объекта информатизации,
помещений или объектов (зданий, сооружений, технических средств), в которых
они установлены, или помещения и объекты, предназначенные для ведения
конфиденциальных переговоров».
Если обратиться к истории, то можно условно выделить три периода
развития средств защиты информации (ЗИ):
 первый относится к тому времени, когда обработка информации
осуществлялась по традиционным (ручным, бумажным) технологиям;
 второй — когда для обработки информации на регулярной основе
применялись средства электронной вычислительной техники первых поколений;
 третий — когда использование средств электронно-вычислительной
техники приняло массовый и повсеместный характер (появление персональных
компьютеров).
Основной проблемой реализации систем защиты является: с одной стороны,
обеспечение надежной защиты, находящейся в системе информации
(исключение случайного и преднамеренного получения информации
посторонними лицами), с другой стороны, системы защиты не должны создавать
заметных неудобств авторизированным пользователям в ходе их работы с
ресурсами системы.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Основные принципы построения систем защиты АС Защита информации в
АС должна основываться на следующих основных принципах:  
 системности; 
 комплексности; 
 непрерывности защиты; 
 разумной достаточности; 
 гибкости управления и применения; 
 открытости алгоритмов и механизмов защиты; 
 простоты применения защитных мер и средств. 
Принцип системности.
Системный подход к защите компьютерных систем предполагает
необходимость учета всех взаимосвязанных, взаимодействующих и
изменяющихся во времени элементов, условий и факторов, существенно
значимых для понимания и решения проблемы обеспечения безопасности АС.
При создании системы защиты необходимо учитывать все слабые, наиболее
уязвимые места системы обработки информации, а также характер, возможные
объекты и направления атак на систему со стороны нарушителей (особенно
высококвалифицированных злоумышленников), пути проникновения в
распределенные системы и НСД к информации.
Система защиты должна строиться с учетом не только всех известных
каналов проникновения и НСД к информации, но и с учетом возможности
появления принципиально новых путей реализации угроз безопасности. 
Принцип комплексности.
В распоряжении специалистов по компьютерной безопасности имеется
широкий спектр мер, методов и средств защиты компьютерных систем.
Комплексное их использование предполагает согласованное применение
разнородных средств при построении целостной системы защиты,
перекрывающей все существенные каналы реализации угроз и не содержащей
слабых мест на стыках отдельных ее компонентов.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Защита должна строиться эшелонированно. Внешняя защита должна
обеспечиваться физическими средствами, организационными и правовыми
мерами. Одной из наиболее укрепленных линий обороны призваны быть
средства защиты, реализованные на уровне операционных систем (ОС) в силу
того, что ОС - это как раз та часть компьютерной системы, которая управляет
использованием всех ее ресурсов. Прикладной уровень защиты, учитывающий
особенности предметной области, представляет внутренний рубеж обороны. 
Принцип непрерывности защиты.
Защита информации - это не разовое мероприятие и даже не определенная
совокупность проведенных мероприятий и установленных средств защиты, а
непрерывный целенаправленный процесс, предполагающий принятие
соответствующих мер на всех этапах жизненного цикла АС, начиная с самых
ранних стадий проектирования, а не только на этапе ее эксплуатации.  
Разработка системы защиты должна вестись параллельно с разработкой самой
защищаемой системы. Это позволит учесть требования безопасности при
проектировании архитектуры и, в конечном счете, позволит создать более
эффективные (как по затратам ресурсов, так и по стойкости) защищенные
системы.   Большинству физических и технических средств защиты для
эффективного выполнения своих функций необходима постоянная
организационная (административная) поддержка (своевременная смена и
обеспечение правильного хранения и применения имен, паролей, ключей
шифрования, переопределение полномочий и т.п.). Перерывы в работе средств
защиты могут быть использованы злоумышленниками для анализа применяемых
методов и средств защиты, для внедрения специальных программных и
аппаратных "закладок" и других средств преодоления системы защиты после
восстановления ее функционирования. 
Разумная достаточность.  
Создать абсолютно непреодолимую систему защиты принципиально
невозможно. При достаточном количестве времени и средств можно преодолеть

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
любую защиту. Поэтому имеет смысл вести речь только о некотором
приемлемом уровне безопасности. Высокоэффективная система защиты стоит
дорого, использует при работе существенную часть мощности и ресурсов
компьютерной системы и может создавать ощутимые дополнительные
неудобства пользователям. Важно правильно выбрать тот достаточный уровень
защиты, при котором затраты, риск и размер возможного ущерба были бы
приемлемыми (задача анализа риска). 
Гибкость системы защиты.  
Часто приходится создавать систему защиты в условиях большой
неопределенности. Поэтому принятые меры и установленные средства защиты,
особенно в начальный период их эксплуатации, могут обеспечивать как
чрезмерный, так и недостаточный уровень защиты. Естественно, что для
обеспечения возможности варьирования уровнем защищенности, средства
защиты должны обладать определенной гибкостью. Особенно важным это
свойство является в тех случаях, когда установку средств защиты необходимо
осуществлять на работающую систему, не нарушая процесса ее нормального
функционирования. Кроме того, внешние условия и требования с течением
времени меняются. В таких ситуациях свойство гибкости спасает владельцев АС
от необходимости принятия кардинальных мер по полной замене средств
защиты на новые. 
Открытость алгоритмов и механизмов защиты.  
Суть принципа открытости алгоритмов и механизмов защиты состоит в том,
что защита не должна обеспечиваться только за счет секретности структурной
организации и алгоритмов функционирования ее подсистем. Знание алгоритмов
работы системы защиты не должно давать возможности ее преодоления (даже
автору). Однако, это вовсе не означает, что информация о конкретной системе
защиты должна быть общедоступна. 
Принцип простоты применения средств защиты.  

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Механизмы защиты должны быть интуитивно понятны и просты в
использовании. Применение средств защиты не должно быть связано со знанием
специальных языков или с выполнением действий, требующих значительных
дополнительных трудозатрат при обычной работе законных пользователей, а
также не должно требовать от пользователя выполнения рутинных
малопонятных ему операций (ввод нескольких паролей и имен и т.д.). 
Системно-концептуальный подход к защите информации.
Проблема обеспечения желаемого уровня защиты информации весьма
сложная, требующая для своего решения не просто осуществления некоторой
совокупности научных, научно-технических и организационных мероприятий и
применения специальных средств и методов, а создания целостной системы
организационно-технологических мероприятий и применения комплекса
специальных средств и методов защиты информации (ЗИ).  На основе
теоретических исследований и практических работ в области ЗИ сформулирован
системно-концептуальный подход к защите информации. Под системностью как
основной частью системно-концептуального похода понимается: 
 системность целевая, т. е. защищенность информации рассматривается
как основная часть общего понятия качества информации;
 системность пространственная, предлагающая взаимоувязанное решение
всех вопросов защиты на всех компонентах предприятия;
 системность временная, означающая непрерывность работ по ЗИ,
осуществляемых в соответствии планам;
 системность организационная, означающая единство организации всех
работ по ЗИ и управления ими.
 Концептуальность подхода предполагает разработку единой концепции как
полной совокупности научно обоснованных взглядов, положений и решений,
необходимых и достаточных для оптимальной организации и обеспечения
надежности защиты информации, а также целенаправленной организации всех

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
производимых работ. Комплексный (системный) подход к построению любой
системы включает в себя: 
 изучение объекта внедряемой системы;
 оценку угроз безопасности объекта;
 анализ средств, которыми будем оперировать при построении системы;
 оценку экономической целесообразности;
 изучение самой системы, ее свойств, принципов работы и возможность
увеличения ее эффективности;
 соотношение всех внутренних и внешних факторов;
 возможность дополнительных изменений в процессе построения
системы и полную организацию всего процесса от начала до конца.
Комплексный (системный) подход — это принцип рассмотрения проекта,
при котором анализируется система в целом, а не ее отдельные части. Его
задачей является оптимизация всей системы в совокупности, а не улучшение
эффективности отдельных частей. Это объясняется тем, что, как показывает
практика, улучшение одних параметров часто приводит к ухудшению других,
поэтому необходимо стараться обеспечить баланс противоречий требований и
характеристик.
Комплексный (системный) подход не рекомендует приступать к созданию
системы до тех пор, пока не определены ее компоненты.
Входные элементы. Это те элементы, для обработки которых создается
система. В качестве входных элементов выступают виды угроз безопасности,
возможные на данном объекте.
Ресурсы. Это средства, которые обеспечивают создание и
функционирование системы (например, материальные затраты,
энергопотребление, допустимые размеры и т. д.).
Окружающая среда. Следует помнить, что любая реальная система всегда
взаимодействует с другими системами, каждый объект связан с другими
объектами. Очень важно установить границы области других систем, не

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
подчиняющихся руководителю данного предприятия и не входящих в сферу его
ответственности. Характерным примером важности решения этой задачи
является распределение функций по защите информации, передаваемой
сигналами в кабельной линии, проходящей по территориям различных объектов.
Как бы ни устанавливались границы системы, нельзя игнорировать ее
взаимодействие с окружающей средой, ибо в этом случае принятые решения
могут оказаться бессмысленными. Это справедливо как для границ защищаемого
объекта, так и для границ системы защиты.
Назначение и функции. Для каждой системы должна быть сформулирована
цель, к которой она (система) стремится. Эта цель может быть описана как
назначение системы, как ее функция. Чем точнее и конкретнее указано
назначение или перечислены функции системы, тем быстрее и правильнее
можно выбрать лучший вариант ее построения. Так, например, цель,
сформулированная в самом общем виде как обеспечение безопасности объекта,
заставит рассматривать варианты создания глобальной системы защиты. Если
уточнить ее, определив, например, как обеспечение безопасности информации,
передаваемой по каналам связи внутри здания, то круг возможных решений
существенно сузится. Следует иметь в виду, что, как правило, глобальная цель
достигается через достижение множества менее общих локальных целей
(подцелей). Построение такого «дерева целей» значительно облегчает, ускоряет
и удешевляет процесс создания системы.
Критерий эффективности. Необходимо всегда рассматривать несколько
путей, ведущих к цели, в частности нескольких вариантов построения системы,
обеспечивающей заданные цели функционирования. Для того чтобы оценить,
какой из путей лучше, необходимо иметь инструмент сравнения — критерий
эффективности. Он должен: характеризовать качество реализации заданных
функций; учитывать затраты ресурсов, необходимых для выполнения
функционального назначения системы; иметь ясный и однозначный физический
смысл; быть связанным с основными характеристиками системы и допускать

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
количественную оценку на всех этапах создания системы.
 Таким образом, учитывая многообразие потенциальных угроз информации
на предприятии, сложность его структуры, а также участие человека в
технологическом процессе обработки информации, цели защиты информации
могут быть достигнуты только путем создания СЗИ на основе комплексного
подхода.

1.4 Группировка угроз по подсистемам безопасности АС

Группировка угроз производится в соответствии с руководящим


документом РД ФСТЭК «Автоматизированные системы. Защита информации от
несанкционированного доступа к информации. Классификация АС и требования
по защите информации», утвержденным решением председателя
Государственной технической комиссии при Президенте Российской Федерации
от 30 марта 1992 г.
Настоящий руководящий документ устанавливает классификацию
автоматизированных систем, подлежащих защите от несанкционированного
доступа к информации, и требования по защите информации в АС различных
классов.
Руководящий документ разработан в дополнение ГОСТ 34.003-90, ГОСТ
34.601-90, РД 50-680-88, РД 50-34.680-90 и других документов.
Документ может использоваться как нормативно-методический материал
для заказчиков и разработчиков АС при формулировании и реализации
требований по защите.
Принятые в документе сокращения:
 АС - автоматизированные системы;
 НСД - несанкционированный доступ;
 РД - руководящий документ;
 СЗИ - система защиты информации;
 СЗИ НСД - система защиты информации от несанкционированного

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
доступа.
1. Классификация АС
1.1. Классификация распространяется на все действующие и проектируемые
АС учреждений, организаций и предприятий, обрабатывающие
конфиденциальную информацию.
1.2. Деление АС на соответствующие классы по условиям их
функционирования с точки зрения защиты информации необходимо в целях
разработки и применения обоснованных мер по достижению требуемого уровня
защиты информации.
1.3. Дифференциация подхода к выбору методов и средств защиты
определяется важностью обрабатываемой информации, различием АС по своему
составу, структуре, способам обработки информации, количественному и
качественному составу пользователей и обслуживающего персонала.
1.4. Основными этапами классификации АС являются:
 разработка и анализ исходных данных;
выявление основных признаков АС, необходимых для классификации;
 сравнение выявленных признаков АС с классифицируемыми;
 присвоение АС соответствующего класса защиты информации от НСД.
1.5. Необходимыми исходными данными для проведения классификации
конкретной АС являются:
 перечень защищаемых информационных ресурсов АС и их уровень
конфиденциальности;
 перечень лиц, имеющих доступ к штатным средствам АС, с указанием их
уровня полномочий;
 матрица доступа или полномочий субъектов доступа по отношению к
защищаемым информационным ресурсам АС;
 режим обработки данных в АС.
1.6. Выбор класса АС производится заказчиком и разработчиком с
привлечением специалистов по защите информации.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
1.7. К числу определяющих признаков, по которым производится
группировка АС в различные классы, относятся:
 наличие в АС информации различного уровня конфиденциальности;
 уровень полномочий субъектов доступа АС на доступ к
конфиденциальной информации;
 режим обработки данных в АС - коллективный или индивидуальный.
1.8. Устанавливается девять классов защищенности АС от НСД к
информации.
Каждый класс характеризуется определенной минимальной совокупностью
требований по защите.
Классы подразделяются на три группы, отличающиеся особенностями
обработки информации в АС.
В пределах каждой группы соблюдается иерархия требований по защите в
зависимости от ценности (конфиденциальности) информации и, следовательно,
иерархия классов защищенности АС.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
2 Практическая часть
2.1 Постановка задачи
2.1.1 Определение и оценка активов важности и
чувствительности информации

Название организации: ООО «Региональный компьютерный сервис»


Ресурсы:
Информационные:
 БД;
 приказы;
 отчеты;
 распоряжения;
 указания;
 информация о сотрудниках.
Программные:
 браузер;
 1С бухгалтерия;
 антивирус;
 редактор документов;
 локальная ОС;
 сетевая ОС;
Программно-аппаратные:
 ПК;
 сервер БД;
 персональные компьютеры;
 МФУ;
 телефоны;

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
 сканеры.
 камеры.
Cубъекты:
 генеральный директор
 специалист по охране труда;
 специалист по инф. безопасности;
 генеральный директор;
 начальник отдела;
 старший менеджер;
 специалист по инф. безопасности;
 инженер;
 начальник отдела;
 менеджер по продажам;
 специалист по сопровождению ПО;
 коммерческий директор;
 инженер-монтажник.
Документация:
 указы;
 распоряжения;
 приказы;
 постановления;
 правовая информация.
Таблица 1 – Определение чувствительности и критичности информации:
По степени По степени Чувствительность:1-
Информация
критичности чувствительности высокочувствительная;
Указания 3 3 2 - чувствительная;
БД 4 4 3 - внутренняя;
Отчеты 1 2 4 - открытая;
Распоряжения 3 3 Критичность:
Приказы 2 2 1 - сверхважная;

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Информация о
3 3
сотрудниках 2 - очень важная;
Уровни чувствительности:
1. Высокочувствительная - это информация, при неправильном обращении
с которой приводит к значительному ущербу для организации.
2. Чувствительная – информация, при неправильном обращении с которой
приводит к существенному ущербу организации.
3. Внутренняя – может привести небольшому ущербу организации.
4. Открытая – не принесет ущерб организации.
Уровни важности (критичности):
1. Сверхважная - не подлежит восстановлению при потере или подмене.
НСД к ней может остановить работу организации.
2. Очень важная - может частично подлежать восстановлению.
3. Важная - потеря может нанести поправимый ущерб организации.
4. Нормальная - потеря которой не сказывается на деятельности
предприятия.
Должности, существующие в организации:
Отдел внедрения и сопровождения проекта безопасный город: аналитик.
Отдел информационной безопасности: инженер, ведущий специалист по
инф. безопасности, специалист по инф. безопасности.
Отдел мониторинга фото-видео фиксации: начальник отдела, специалист по
технической поддержке.
Отдел программного обеспечения и аналитики: ведущий аналитик,
специалист по сопровождению ПО.
Отдел продаж: юрист, менеджер по продажам.
Отдел проектов: Старший менеджер, менеджер.
Отдел технического обслуживания систем безопасности: инженер-
монтажник, начальник отдела, зам. начальника отдела.
Руководство: генеральный директор, коммерческий директор, бухгалтер,
главный бухгалтер, специалист по охране труда, экономист, заведующий

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
складом, специалист по тех.поддержке.

2.1.2 Определение бизнес-цели, бизнес-задач и функций

Цель организации - получение прибыли.


Функции организации: поиск квалифицированных сотрудников для
установки и наладки, закупка необходимого оборудования, транспортировка
оборудования, выезд на места установки оборудования.
Задачи организации: Установка и наладка, техническое обслуживание
оборудования. Настройка и программирование камер фото-видео фиксации.
Рабочий процесс состоит из трех частей: ввода (какая информация должна
быть обработана) фактической обработки (что делается с информацией) и
вывода (как информация распространяется, храниться или уничтожается).

2.1.3 Описание бизнес процессов

Бизнес-процесс — это совокупность взаимосвязанных мероприятий или


задач, направленных на создание определённого продукта или услуги для
потребителей (см. рисунок 1).
Бизнес-процесс начинается со спроса потребителя и заканчивается его
удовлетворением. Процессно-ориентированные организации стараются
устранять барьеры и задержки, возникающие на стыке двух различных
подразделений организации при выполнении одного бизнес-процесса.

2.1.4 Структурная модель организации

Структура организации – это фиксированные взаимосвязи, которые


существуют между подразделениями и работниками организации. Ее можно
понимать как установленную схему взаимодействия и координации
технологических элементов и персонала. Схема любой организации показывает
состав отделов, секторов и других линейных и функциональных единиц. Однако

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
она не учитывает такой фактор, как человеческое поведение, который влияет на
порядок взаимодействия и его координацию. Именно поведение персонала
определяет эффективность функционирования организационной структуры в
большей мере, чем формальное распределение функций между
подразделениями.

Рисунок 1- Бизнес-модель организации

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
На основе проделанной работы была построена структурная модель
организации (рисунок 2)

Рисунок 2 - Структурная модель организации

2.1.5 Инфологическая модель организации


Также на основе структурной модели была построена инфологическая
модель

Рисунок 3 - Инфологическая модель организации

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
2.1.6 Физическая модель организации

Внешний вид объекта представлен на местности в окружении объектов 50


(рисунок 7), 100м (рисунок 8), 500м (рисунок 9), 1500м (рисунок 10). В радиусе
50-100м. находятся и жилые дома (гаражи, кухня, котельная), аэропорт. В
радиусе 500-1500м.

Рисунок 4 - Предприятие на расстоянии 50 метров от спутника

Рисунок 5 - Предприятие на расстоянии 100 метров от спутника

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Рисунок 6 - Предприятие на расстоянии 500 метров от спутника

Рисунок 7 - Предприятие на расстоянии 1500 метров от спутника

Рисунок 8 - План здания

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
2.1.7 План исходного объекта защиты

В качестве защищаемого помещения был выбран компьютерный кабинет,


так как в данном кабинете находиться сервер на котором хранится и
циркулирует наиболее ценная информация, а именно – вся документация о
пациентах, сотрудниках больницы и прочая документация

Рисунок 9 - План исходного объекта защиты


Элементы помещения:
 столы со стульями;
 персональный компьютер(ПК);
 диваны для отдыха;
 окна – пластиковые, со стандартными стеклами (без доп. утепления);
 потолок – кассетный с неоновыми лампами.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
2.2 Модели разграничения доступа
2.2.1 Модель Харрисона-Руззо-Ульмана

Модель Харрисона-Руззо-Ульмана (HRU-модель) — одна из формальных


моделей управления доступом субъектов (пользователей) к объектам,
реализованная с помощью матрицы доступов.
Таблица 2 – Матрица доступа субъектов – пользователей к объектам –
программным средствам

документов

Антивирус
бухгалтерия

Локальная

Сетевая ОС
Браузер

Редактор

ОС

Генеральный директор М М М М М М
Зам. Директора M U M U R R
Сис. администратор M M M M M M
Бухгалтерия U U M U U U
Инженер U U U U U U
Коммерческий директор U U U U U U
Спец. по тех. поддержке U R U U U U
Начальник отдела; M U R R R R
Менеджер по продажам; U U U U U U
Специалист по
М М М R М М
сопровождению ПО;
Коммерческий директор; U R U R R R
Инженер-монтажник; R R R R R R

Условные обозначения:
"-" - нет доступа к ресурсу, либо не используется при работе;
"М" - управление;
"R" - чтение, представляет собой доступ, когда субъект получает
информацию о ресурсах;
"S" - установка;
"U" - работа в режиме пользователя.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Матрица доступа субъектов-пользователей к объектам – программному
обеспечению представлена в таблице 3.
Таблица № 3 – Матрица доступа субъектов – пользователей к объектам –
аппаратным средствам.

МФУ
Компьютер

Роутер

Телефон

Камеры

Сканер
Генеральный директор M, О M, О M, О M, О M, О М, О
Зам. Директора M, O M, O M, O M, O M, O M, O
Сис. администратор X X X M, X X X
Бухгалтерия X X X X X X
Инженер X X X X X X
Комм. директор X X X X X X
Спец. по тех. X M, O X M, X X X
поддержке
Начальник отдела; X - X X X X
Менеджер по X - X X X X
продажам;
Специалист по M, O M, O M, O M, O M, O M, O
сопровождению ПО;
Коммерческий U - X X X X
директор;
Инженер-монтажник; R R R R R R

Условные обозначения
"-" - нет доступа к ресурсу, либо не используется при работе;
"М" - управление;
"O" - собственник, полный доступ;
"S" - установка;
"Х" - запуск.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Матрица доступа субъектов-пользователей к объектам – информации
представлена в таблице 4.
Таблица 4 - Матрица доступа субъектов-пользователей к объектам –
информации.

Распоряжения
Приказы

Информация о
БД
Указания

Отчеты

сотрудниках
Генеральный директор О О О О О О
Зам. Директора O O O O O O
Сис. администратор R R R R R R
Бухгалтерия F F F O F F
Инженер F F F R F F
Комм. директор F F F R F F
Спец. по тех. F F F R F F
поддержке
Начальник отдела; R F R R R F
Менеджер по - R - R - R
продажам;
Специалист по О О О О О О
сопровождению ПО;
Коммерческий O O O O O O
директор;
Инженер-монтажник; R R R R R R

Условные обозначения:
"-" - нет доступа к ресурсу, либо не используется при работе;
"O" - собственник, полный доступ;
"R" - только чтение;
"F" - чтение, запись, добавление.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
2.2.2 Модель Bella-La Padula (Белла-Лападула)

На данном этапе были рассмотрены множества субъектов – пользователей и


объектов – информации (см. рисунок 9). Директор имеет доступ ко всей
информации. Специалист по безопасности имеет доступ ко всей информации и
возможность редактировать ее.

Рисунок 10 - Модель Белла-Лападулы в организации

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
2.3 Определение уязвимостей защитных мер
2.3.1 Выбор и описание областей оценки уязвимости
защитных мер

Физическая защита: охраняемая зона, периметр охраняемой зоны,


безопасность зданий, производственных помещений и оборудования ,
изолирование зон приемки и отгрузки материальных ценностей расположение и
защита оборудования, безопасность оборудования.
Предотвращение неавторизованного доступа, повреждения и воздействия в
отношении помещений и информации организации.
Управление передачей данных и операционной деятельностью: управление
носителями информации, безопасность системной документации обеспечения,
использование съемных носителей компьютерной информации.
Предотвращение повреждений активов и прерываний бизнес-процессов.
Контроль использования и физическая безопасность активов.
Контроль доступа: регистрации пользователя, контроль доступа к
операционной системе, обязанности пользователей.

2.3.2 Разработка анкет для оценки уязвимости


защитных мер

Таблица 5 – Анкета для оценки уязвимостей


Номер Вопрос Ответ
вопроса
1. Бронированные ли окна в помещении? Нет
2. Обесточивается ли помещение персонала в конце раб. дня? Да
3. Есть ли в помещении персонала кондиционер или Да
вентиляция
4. Установлены ли программные средства защиты на раб. Да
станции сотрудников?
5. Бронированные ли двери на входе в главное здание? Да
6. Есть ли камеры видеонаблюдения по периметру здания? Да

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Продолжение таблицы 5
7. Установлено ли заграждение перед входом на территорию Нет
предприятия
8. Есть ли охрана на территории? Да
9. Стоят ли металлодетекторы на входе в здание? Да
10. Ведется ли 24-часовая съемка с камер видеонаблюдения? Да
11. Есть ли сигнализация на территории предприятия? Да
12. Есть ли сейфы для хранения конфиденциальной Да
документации?
13. Есть ли сетевая защита в корпоративной сети? Да
14. Ведется ли логирование сотрудников предприятия? Да
15. Есть разграничение доступа к информации на предприятии? Да
16. Следит ли сетевой администратор за последними Да
обновлениями ПО на раб.станциях?
17. Имеют ли сотрудники организации полный доступ в Да
Интернет?
18. Предполагается ли знание сотрудниками организационной Да
тайны организации?
19. Есть ли огнестрельное оружие у охраны? Нет
20. Разрешено ли сотрудникам выносить вещи с территории Да
организации?
21. Есть ли на территории организации серверное Да
оборудование?
22. Производятся ли еженедельные осмотры технического Да
оборудования на наличие повреждений?
23. Есть ли бесперебойное питание на территории Да
предприятия?
24. Установлено ли на раб. cтанции антишпионское ПО? Да
25. Есть ли средства резервного копирования информации? Да
26. Установлены ли системы защиты на БД организации? Да
27. Есть ли в организации средства биометрии? Нет
28. Есть ли у сотрудников организации смарт-карты для Да
доступа на объект?
29. Ведется ли контроль над каналами утечки информации? Да
30. Ведется ли учет носителей информации? Да
31. Есть ли в организации идентификация и аутентификация Да
пользователей и устройств?
32. Существует ли в организации система отчётов? Да
33. Хранятся ли какие-то данные на облачном хранилищ? Да
34. Ведется ли регистрация попыток доступа к информации Да
лицами не имеющим к ней доступ?

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Продолжение таблицы 5
35. Установлен ли механизм защиты от загрузки с внешних Да
носителей?
36. Ведется ли хэширование данных на предприятии? Да
37. Если у предприятия своя ЭЦП? Да
38. Есть ли средства защиты информации от копирования? Да
39. Есть ли у сотрудников организации перерыв? Да
40. Применяются ли в организации методы защиты от НСДИ? Да
41. Оборудование для обработки важной информации Да
находится в тайне от посторонних лиц?
42. Закрыты ли физически пустующие зоны безопасности? Да
43. Содержаться ли горючие материалы на территории Нет
организации?
44. Есть пожарные выходы на предприятии? Да
45. Разрешено ли использование фото, видео. Аудио Нет
оборудование на территории предприятия без разрешения?
46. Обслуживается ли оборудование техническим персоналом? Да
47. Расположено ли оборудование в местах отстраненных от Да
третьих лиц?
48. Производится ли мониторинг и анализ инцидентов Да
нарушения информационной безопасности ?
49. Производится ли утверждение проектов в области Да
информационной безопасности?
50. Сообщают ли сотрудники о сбоях в работе сервера сис Да
админу?

По результатам анкеты для оценки уязвимости степень защищенности -


удовлетворительна.

2.3.3 Определение уязвимости защитных мер

На данном этапе необходимо определить уязвимости защитных мер.


Каждая уязвимость оценивается по степени критичности. Данная оценка
будет производиться по степени критичности. Данная оценка будет
производиться по трехбалльной качественной шкале:
Низкий (соотв. Нормальной - Н),
Средний (соотв. Важная - С)

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Высокий (соотв. Критичная - В).
В - нарушение или потеря информации ведет к прерыванию всех процессов
фирмы, а так же наносит урон ее имиджу;
С - нарушение или потеря информации ведет к небольшим затруднениям в
работе фирмы, которые устраняются за небольшой промежуток времени;
Н - нарушение или потеря информации не влияют на работу фирмы.
Таблица 6 – Степень уязвимостей защитных мер

Уязвимости Степень Кол-во вопросов


Не обеспечен необходимый
контроль при работе с важной Средний 3
информацией
Отсутствует четко
ограниченный периметр Низкий 3
охраны
Не обеспеченно должное
хранение и использование Низкий 2
информационных носителей
Отсутствие контроля за
Средний 2
выполняемыми работами
Невыполнение
Низкий 3
идентификации рабочих

2.3.4 Определение рисковых событий в области оценки


уязвимости

Под рисковым событием понимается любая опасная ситуация, которая


приводит к ущербу. Взаимосвязь активов, уязвимостей и рисковых событий
представлена в таблице «Рисковые события для активов организации»
Таблица № 7 - Рисковые события для активов организации.
Активы Уязвимости Рисковые события
Приказы Безответственность Ошибки персонала. Выход
управленческого из строя сервера и жесткого
персонала диска.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Продолжение таблицы 7
Отчёты Безответственность Ошибки персонала. Выход
управленческого из строя сервера и жесткого
персонала диска.

Распоряжения Отсутствие надежной Выход из строя сервера и


защиты внутренней жесткого диска.
сети предприятия.
Невнимательность
управленческого
персонала.
БД Отсутствие надежной Выход из строя сервера и
защиты внутренней жесткого диска.
сети предприятия
Отчёт о выработке Отсутствие надежной Выход из строя сервера и
защиты внутренней жесткого диска.
сети предприятия
Информация о Отсутствие Выход из строя сервера и
сотрудниках необходимой защиты жесткого диска.

2.4 Описание угроз по ГОСТ 15408

Описание угрозы должно соответствовать модели угроз из ГОСТ Р


ИСО/МЭК 15408, которые включают в себя:
 уязвимость;
 масштаб ущерба;
 тип потери;
 нападения пригодные для реализации угрозы;
 объекты нападений (объекты защиты);
 источники угрозы
Для источников угроз-людей модель нарушителя должна включать:
 указание их опыта;
 указание знаний;
 указание доступных ресурсов, необходимых для реализации угрозы.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
 мотивация
Описание факторов угроз представлено в таблице – приложение А.

2.5 Экспертная оценка угроз

Расчет вероятности проявления каждой угрозы производится отдельно по


каждому эксперту по следующей формуле:

P= Σ (mi*vi)/(N*100), (1)
где N - количество факторов угроз;
Mi – численная оценка значимости i-го фактора данной угрозы, сделанная
данным экспертом;
Vi – численная оценка вероятности i-го фактора данной угрозы, сделанная
данным экспертом.
После расчета оценок всех угроз отдельными экспертами рассчитывается
суммарная оценка группы экспертов.
Веса (значимость) экспертов в группе вычисляются по формуле (2):
Ki = Si/ΣSi (2)
где Si – квалификация эксперта, задаваемая в диапазоне от 0 до 10, в
зависимости от опыта, образования и других качеств эксперта,
Далее по каждой угрозе была подсчитана суммарная оценка с учетом
Весов экспертов с помощью формулы (3)
Pугр = Σ(Ki*Pi)/N*10 (3)
где Pi – оценка вероятности данной угрозы, сделанная одним экспертом;
Ki – вес эксперта в группе.

2.5.1 Оценка актуальности угроз

Таблица № 8 – Оценка актуальности угроз


Тип угроз безопасности Актуальность
угрозы

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Продолжение таблицы 8
Кража или повреждение компьютерного Не актуально
оборудования и носителей информации
инсайдерами
Кража бумажных документов инсайдерами Не актуально
Злоупотребление средствами аудита Не актуально
Неосторожное злоупотребление оборудованием по Актуально
причине неисполнения разделения обязанностей
Повреждение носителей информации Актуально
Невыполнение контрактных обязательств Актуально
Ошибки персонала технической поддержки Актуально
Нарушение целостности данных из-за ошибок Актуально
пользователей
Потеря записей Актуально
Сбой в системах безопасности Не актуально

Выявлены следующие актуальные угрозы:


 неосторожное злоупотребление оборудованием по причине
неисполнения разделения обязанностей;
 повреждение носителей информации;
 ошибки персонала технической поддержки;
 нарушение целостности данных из-за ошибок пользователей;
 потеря записей;

2.5.2 Оценка вероятности угроз

Таблица № 9 – Квалификация и значимость экспертов


N Квалификация Вес, значим. Ki
01 2 0,019
02 2 0,019
03 3 0,028
04 4 0,038
05 5 0,048
06 1 0,009
07 8 0,076
08 2 0,019
09 9 0,086
10 5 0,048

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Продолжение таблицы 9
11 7 0,067
12 6 0,057
13 4 0,038
14 9 0,086
15 5 0,048
16 9 0,086
17 10 0,096
18 6 0,057
19 3 0,028
20 4 0,038

Таблица № 10 – Оценка вероятности угроз

Номер Неосторожное Поврежде Ошибки Нарушение Потеря


эксперта злоупотреблен ние персонала целостности записей
ие носителей техническ данных из-за
оборудование информац ой ошибок
м по причине ии поддержки пользователей
неисполнения
разделения
обязанностей
001 0.744 0.646 0.548 0.613 0.658
002  0.440 0.443 0.467 0.348 0,864
003 0.604 0.431 0.755 0.815 0.686
004 0.559 0.835 0.446 0.853 0.815
005  0.327 0.754 0.439 0.705 0.647
006  0.778 0.318 0.426 0.636 0.717
007 0.737 0.475 0.634 0.737 0.475
008  0.454 0.503 0.744 0.454 0.503
009  0.835 0.713 0.440 0.835 0.713
010  0.654 0.377 0.604 0.431 0.755
011  0.524 0.366 0.559 0.835 0.446
012  0.876 0.456 0.327 0.754 0.439
013  0.337 0.670 0.725 0.613 0.605
014  0.848 0.604 0.702 0.606 0.634
015 0.604 0.635 0.535 0.626 0.377
016  0.766 0.672 0.674 0.643 0.366
017 0.868 0.753 0.335 0.604 0.456
018 0.826 0.724 0.726 0.766 0.377
019 0.524 0.635 0.302 0.868 0.366
020  0.619 0.326 0.615 0.554 0.456

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Таблица № 11 – Суммарная оценка и подсчёт квартилей по каждой угрозе.

Групповая
Наименование угрозы оценка Нижний Верхний
вероятности квартиль квартиль
угрозы
Неосторожное 0,54 0,58 0,551
злоупотребление
оборудованием по
причине неисполнения
разделения обязанностей
Повреждение носителей 0,524 0,884 0,654
информации
Ошибки персонала 0,559 0,621 0,624
технической поддержки
Нарушение целостности 0,611 0,241 0,514
данных из-за ошибок
пользователей
Потеря записей 0,554 0,681 0,598

2.6 Матрица оценки рисков по уровням

Таблица 12 – Матрица оценки рисков по уровням


производительности
Угрозы

Риск денежной потери

Риск потери

Риск затруднений

Общий риск

Уровни

Неосторожное Средний Высок Высокий Высокий сетевых


злоупотребление ий приложений
оборудованием
по причине
неисполнения
разделения
обязанностей

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Повреждение Средний Высок Средний Средний бизнес-
носителей ий процессов
информации
Продолжение таблицы 12
Ошибки Высоки Высок Высокий Высокий сетевых
персонала й ий приложений,
технической функциональ
поддержки ных
приложений
Нарушение Высоки Высок Высокий Высокий бизнес-
целостности й ий процессов
данных из-за
ошибок
пользователей
Потеря записей Высоки Высок Высокий Высокий бизнес-
й ий процессов

Оценка рисков состоит из двух этапов:


 оценка рисков потенциальных угроз для каждой зоны локализации;
 уязвимостей с помощью заполнения матрицы оценки риска;
 придание комбинированного уровня риска для каждой зоны уязвимости
Матрица оценки рисков разделена на зоны локализации уязвимостей. В
рамках каждой уязвимости перечисляются потенциальные угрозы, указываются
уровни в рамках категорий потерь. Перечень актуальных угроз формируется из
угроз с наиболее высоким риском на соответствующем уровне.
2.7 Сравнительный анализ фактического состояния
защищенности
Таблица 13 - Сравнительный анализ фактического состояния защищенности
1. Подсистема управления доступом 1В
1.1. Идентификация, проверка подлинности и контроль РД Выполняе
доступа субъектов: тся
в систему + +
к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, + +
внешним устройствам ЭВМ
к программам + +
к томам, каталогам, файлам, записям, полям записей + -
1.2. Управление потоками информации + +

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
2. Подсистема регистрации и учета
2.1. Регистрация и учет:

Продолжение таблицы 13
входа (выхода) субъектов доступа в (из) систему (узел + +
сети)
выдачи печатных (графических) выходных документов + -
запуска (завершения) программ и процессов (заданий, + +
задач)
доступа программ субъектов доступа к терминалам, ЭВМ, узлам + +
сети ЭВМ, каналам связи, внешним устройствам ЭВМ,
программам, томам, каталогам, файлам,
записям, полям записей
изменения полномочий субъектов доступа + +
создаваемых защищаемых объектов доступа + +
2.2. Учет носителей информации + +
2.3. Очистка (обнуление, обезличивание) освобождаемых + -
областей оперативной памяти ЭВМ и внешних накопителей
2.4. Сигнализация попыток нарушения защиты + +
3. Криптографическая подсистема
3.1. Шифрование конфиденциальной информации - -
3.2. Шифрование информации, принадлежащей различным - -
субъектам доступа (группам субъектов) на разных ключах
3.3. Использование аттестованных (сертифицированных) - -
криптографических средств
4. Подсистема обеспечения целостности
4.1. Обеспечение целостности программных средств и + +
обрабатываемой информации
4.2. Физическая охрана средств вычислительной техники и + +
носителей информации
4.3. Наличие администратора (службы) защиты + +
информации в АС
4.4. Периодическое тестирование СЗИ НСД + +
4.5. Наличие средств восстановления СЗИ НСД + +
4.6. Использование сертифицированных средств защиты + -

2.8 Угрозы, не связанные с деятельностью человека

Наиболее типичной естественной угрозой системам обработки данных, не


всегда связанной с деятельностью человека, является пожар. Поэтому при
проектировании и эксплуатации систем обработки данных в обязательном плане

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
решаются вопросы противопожарной безопасности. Особое внимание при этом
следует уделить защите от пожара носителей компьютерных данных, файл-
серверов, отдельных вычислительных машин, центров связи, архивов, и другого
оборудования и помещений или специальных контейнеров, где
сконцентрированы огромные массивы очень важной информации. Для этих
целей могут быть использованы специальные несгораемые сейфы, контейнеры и
др.
Удар молнии. Эта проблема возникает не часто, но ущерб может быть
нанесен очень большой. Причем ущерб не только материальный, связанный с
ремонтом или заменой вышедшей из строя техники и восстановлением
потерянной информации, циркулирующей в компьютерных сетях. Если не
применены необходимые технические меры защиты от мощных
электромагнитных излучений грозовых разрядов, выходят из строя отдельные
рабочие станции или серверы сети, и на значительное время парализуется работа
объекта, все операции прекращаются.
Нанесение ущерба ресурсам систем обработки данных может также быть
вызвано землетрясениями другими природными бедствиями. Ущерб может быть
нанесен при технических авариях, например, при внезапном отключении
электропитания и т.д.

2.9 Угрозы, связанные с деятельностью человека

Основные возможные пути умышленной дезорганизации работы, вывода


системы из строя, проникновения в систему и несанкционированного доступа к
информации в организации «Региональный компьютерный сервис»:
 физическое разрушение системы (путем взрыва, поджога и т.п.) или
вывод из строя всех или отдельных наиболее важных компонентов
компьютерной системы (устройств, носителей важной системной информации,
лиц из числа персонала и т.п.);
 отключение или вывод из строя подсистем обеспечения

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
функционирования вычислительных систем (электропитания, охлаждения и
вентиляции, линий связи и т.п.);
 действия по дезорганизации функционирования системы (изменение
режимов работы устройств или программ, забастовка, саботаж персонала,
постановка мощных активных радиопомех на частотах работы устройств
системы и т.п.);
 внедрение агентов в число персонала системы (в том числе, возможно, и
в административную группу, отвечающую за безопасность);
 вербовка (путем подкупа, шантажа и т.п.) персонала или отдельных
пользователей, имеющих определенные полномочия;
 применение подслушивающих устройств, дистанционная фото- и видео-
съемка и т.п.;
 перехват побочных электромагнитных, акустических и других излучений
устройств и линий связи, а также наводок активных излучений на
вспомогательные технические средства, непосредственно не участвующие в
обработке информации (телефонные линии, сели питания, отопления и т.п.);
 перехват данных, передаваемых по каналам связи, и их анализ с целью
выяснения протоколов обмена, правил вхождения в связь и авторизации
пользователя и последующих попыток их имитации для проникновения в
систему;
 хищение носителей информации (магнитных дисков, лент, микросхем
памяти, запоминающих устройств и целых ПЭВМ);
 несанкционированное копирование носителей информации;
 хищение производственных отходов (распечаток, записей, списанных
носителей информации и т.п.);
 чтение остаточной информации из оперативной памяти и с внешних
запоминающих устройств;
 чтение информации из областей оперативной памяти, используемых
операционной системой (в том числе подсистемой зашиты) или другими

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
пользователями, в асинхронном режиме используя недостатки мультизадачных
операционных систем и систем программирования;
 незаконное получение паролей и других реквизитов разграничения
доступа (агентурным путем, используя халатность пользователей, путем
подбора, путем имитации интерфейса системы и т.д.) с последующей
маскировкой под зарегистрированного пользователя ("маскарад");
 несанкционированное использование терминалов пользователей,
имеющих уникальные физические характеристики, такие как номер рабочей
станции в сети, физический адрес, адрес в системе связи, аппаратный блок
кодирования и т.п.;
 вскрытие шифров криптозащиты информации;
 внедрение аппаратных "спецвложений", программных "закладок" и
"вирусов" ("троянских коней" и "жучков"), то есть таких участков программ,
которые не нужны для осуществления заявленных функций, но позволяющих
преодолевать систему зашиты, скрытно и незаконно осуществлять доступ к
системным ресурсам с целью регистрации и передачи критической информации
или дезорганизации функционирования системы;
 незаконное подключение к линиям связи с целью работы "между строк",
с использованием пауз в действиях законного пользователя от его имени с
последующим вводом ложных сообщений или модификацией передаваемых
сообщений;
 незаконное подключение к линиям связи с целью прямой подмены
законного пользователя путем его физического отключения после входа в
систему и успешной аутентификации с последующим вводом дезинформации и
навязыванием ложных сообщений.

2.10 Требования к защитным мерам

На данном этапе необходимо сформулировать требования, которые


предъявляются к защитным мерам в выбранных областях оценки уязвимости.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Требования формируются в виде описания системы, которая в данной
области оценки обладает наибольшим уровнем защищенности.
Требования к защитным мерам:
 идентификация, проверка подлинности и контроль доступа субъектов к
томам, каталогам, файлам, записям, полям записей
 идентификация доступа программ субъектов доступа к защищаемым
файлам, включая их создание и удаление, передачу по линиям и каналам связи
 идентификация доступа программ субъектов доступа к терминалам,
ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам,
томам, каталогам, файлам, записям, полям записей
 идентификация доступа изменения полномочий субъектов доступа;
 наличие криптографической подсистемы;
 использовать сертифицированных средств защиты;
 бронирование окон в помещении;
 обесточивать помещений персонала в конце рабочего дня;
 своевременное обновление ПО на рабочих станциях;
 установка на рабочие cтанции антишпионского ПО;
 наличие средств резервного копирования информации;
 обязательный контроль над каналами утечки информации;
 хранение конфиденциальных данных в облачном хранилище;
 установка механизма защиты от загрузки с внешних носителей;
 наличие средств защиты информации от копирования;
 закрытие физически пустующих зон безопасности;
 уменьшение количества горючих материалов на территории
организации;

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Заключение

В результате выполнения курсового проекта был смоделирован комплекс


требований к подсистемам безопасности для автоматизированной системы
организации «Региональный компьютерный сервис».
Были разработаны структурная и инфологическая схемы информационной
системы организации, а также физическая модель аппаратно-кабельной
системы.
Так же была разработаны анкеты для оценки уязвимости защитных мер,
описан перечень угроз, определены ранги угроз, оценены риски ИБ,
определены актуальные угрозы.
Таким образом, задание на курсовой проект выполнено в полном объеме.

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата
Список используемой литературы

1. [ГОСТ Р ИСО/МЭК 17799 - 2005 «Информационные технологии.


Практические правила управления информационной безопасностью»]
2. [РД ФСТЭК «Защита от несанкционированного доступа к
информации. Классификация автоматизированных систем и требования по
защите информации»]
3. [Защита информации в системах и средствах информатизации и
связи: Учебное пособие.- СГ1о.: ВИКА, 1996.- 99 с.]
4. [Об электронной цифровой подписи (Закон РФ №63-ФЗ от 30.03.11
г.)]
5. [С. А. Клейменов, В. П.Мельников, А. М. Петраков,
Информационная безопасность и защита информации. 6-е издание.
М:Издательство "Академия", 2013.]
6. [В.Гафнер, «Информационная безопасность». М:Издательство
"Феникс", 2013].
7. [И.Корнеев, А.Беляев, Информационная безопасность. П.:
Издательство «БХВ-Петербург», 2013. 18. В. П. Мельников, С. А. Клейменов,
А. М. Петраков, Информационная безопасность и защита информации.
Безопасность . издание. П.:Издательство "Академия", 2013. ]
8. [Н.Милославская, М.Сенаторов, А.Толстой, Управление
инцидентами информационной безопасности и непрерывного бизнеса. 2-е
издание. Издательство "Горячая линия-Телеком", 2014]
9. [«Основные подсистемы защиты информации от
несанкционированного доступа и особенности их настройки». А. А. Герасимов,
В.А. Кузнецов, А.В. Мозговой, К.А. Пугачев]
10. [Статья о защите информации:
[http://www.sir35.ru/Safety/Zashcita_informi_01024.htm.]

Лист
КП-10.02.03.-ПКИПТ-297С-256-18 ПЗ 55
Изм. Лист № докум. Подпись Дата