02. Складання Плану захисту інформації в ІТС

План захисту інформації в ІТС розробляється на підставі:
- аналізу технологій обробки інформації;
- аналізу ризиків реалізації загроз;
- політики безпеки інформації.

План захисту визначає та документально закріплює:
- об’єкти захисту та завдання їх захисту;
- правила обробки інформації;
- мету побудови КСЗІ;
- заходи захисту інформації;
склад ІТС;
- перелік інформації, що обробляється;
- технологію обробки інформації;
- заходи та засоби захисту інформації;
- склад необхідної документації тощо.

План захисту повинен регулярно переглядатися та за необхідності змінюватись. Зміни та доповнення до Плану захисту затверджуються у тому ж порядку, що і основний документ.

Для АС, в яких обробляється інформація, що становить державну або іншу встановлену законом таємницю, службова інформація, інформація, яка належить до державних інформаційних ресурсів, або інформація, необхідність захисту якої встановлено законом, План захисту є обов'язковим документом. Склад і зміст Плану захисту для таких АС встановлено «Положенням про забезпечення режиму секретності під час обробки інформації, що становить державну таємницю, в АС», затвердженим ПКМУ № 180-98.

План захисту повинен складатись з таких розділів:
1. Завдання захисту, класифікацію, опис технології обробки службової інформації.
2. Модель загроз інформації в АС.
3. Політика (основні правила) захисту інформації в АС.
4. Перелік нормативних, розпорядчих, організаційно-технічних та інших документів, згідно з якими реалізовано захист інформації в АС.
5. Календарний план робіт із захисту інформації в АС.

План захисту рекомендується розробляти і для всіх інших ІТС, в яких обробляється інформація, що підлягає захисту згідно з законодавством України, згідно вимог «Правил забезпечення захисту інформації в ІТС», затверджених ПКМУ № 373-2006.

План захисту повинен складатись з таких розділів:
1. Завдання захисту, класифікацію інформації, яка обробляється в системі, опис технології обробки інформації.
2. Визначення моделі загроз для інформації в системі.
3. Основні вимоги щодо захисту інформації та правила доступу до неї в системі.
4. Перелік документів, згідно з якими здійснюється захист інформації в системі.
5. Перелік і строки виконання робіт службою захисту інформації.

Крім того, НД ТЗІ 1.4-001-2000 «Типове положення про службу захисту інформації в АС» має додаток «Методичні вказівки щодо структури та змісту Плану захисту інформації  в АС».

План захисту повинен складатись з таких розділів:
1. Завдання захисту інформації  в АС.
2. Класифікація інформації, що обробляється в АС.
3. Опис компонентів АС та технології обробки інформації.
4. Загрози для інформації в АС.
5. Політика безпеки інформації в АС.
6. Система документів з забезпечення захисту інформації в АС.

Приклад Плану захисту

План захисту інформації фінансової установи

Зміст

1. Мета і призначення КСЗІ
2. Загальна характеристика АС установи і умов її функціонування
3. Формування моделі загроз для інформації в АС
4. Формування моделі порушника політики безпеки
5. Розробка політики безпеки інформації в АС
6. Система документів з забезпечення захисту інформації в АС

1. Мета і призначення КСЗІ в АС

Метою розробки КСЗІ є впровадження заходів та засобів, які реалізують способи, методи, механізми захисту інформації від несанкціонованих дій та несанкціонованого доступу до інформації, що можуть здійснюватися шляхом:
- підключення до апаратури та ліній зв'язку;
- маскування під зареєстрованого користувача,
- подолання заходів захисту з метою використання інформації або нав'язування хибної інформації;
- застосування закладних пристроїв чи програм,
- використання комп'ютерних антивірусів тощо.

Метою КСЗІ є формування моделі загроз інформації та моделі порушника об'єкта інформаційної діяльності, розробка політики безпеки та системи документів з забезпечення захисту інформації в АС, розрахунок та оцінка ризиків. КСЗІ призначена для захисту інформації, що циркулює та зберігається на робочих станціях і серверах установи.

КСЗІ створюється на основі Закону України «Про захист інформації в інформаційно-телекомунікаційних системах», ДСТУ 3396.1-96, НД ТЗІ 1.1-002-99, НД ТЗІ 1.4-001-2000, НД ТЗІ 2.1-001-200, НД ТЗІ 3.7-001-99, НД ТЗІ 3.7-003-05.

2. Загальна характеристика АС і умов її функціонування

Фінансова компанія займається аналізом рентабельності підприємств на сучасному економічному ринку, залежно від попиту на товари чи послуги. Компанія веде підрахунки затрат та доходу при відкритті нових підприємств, крім цього компанія займається просуванням на ринок нових підприємств та приватних підприємців. Тому компанія займається аналізом ринку попиту на продукцію, що виробляється підприємствами і визначає основні тенденції виробництва у певний часовий період.

Загальна структурна схема обчислювальної системи АС

Обчислювальна система даної компанії є локальною мережею, яка складається з 18 комп'ютерів, що знаходяться в одному приміщенні Офіс знаходиться на одному поверсі будівлі. За генеральним планом у компанії 6 робочих кімнат. З яких 4 кімнати - це робочі відділи компанії; кабінет головного директора компанії і приймальня.

Технічна характеристика обладнання

Комп'ютери, що використовуються для роботи персоналу: HPdc5800 (KV488EA)

Характеристика

Значення

Чіпсет

Intel Q33

Процесор

Тип процесора

Intel Pentium Dual-Core E2180

Частота, GHz

2

Оперативна пам'ять

Об’єм, МВ

1024

Стандарт

PC2-6400

Жорсткий диск

Об’єм, GB

160

Інтерфейс

SATA II

Графічний адаптер

Чіпсет

Intel GMA 3100

Об'єм пам'яті, MB

256

Оснащення

Вбудований оптичний накопичувач

DVD-RW

Звукова карта

HD Audio ADI1884

Зовнішні порти

8xUSB, COM, LPT, 2xPS/2, VGA, audio in/out

Мережевий адаптер

10/100/1000

Характеристика програмного забезпечення

На робочих станціях компанії використовується ліцензована ОС «Windows Vista Business», що має позитивний експертний висновок Держспецзв’язку. Вибір цієї ОС оснований на тому, що дана версія «Windows Vista» спеціально розроблена для підприємств і має посилену політику безпеки і системи захисту. На серверах компанії використовується ліцензована ОС «Windows Server 2008 Standard Edition», що має позитивний експертний висновок Держспецзв'язку.

Для захисту робочих станцій і серверів компанії на них встановлюється ліцензоване антивірусне програмне забезпечення, що має позитивний експертний висновок Держспецзв’язку. В АС компанії використовується ліцензоване прикладне програмне забезпечення, зокрема «Microsoft Office». Для забезпечення цілісності електронних документів можуть використовуваться ліцензійні засоби ЕЦП.

Клас і склад АС

Згідно з НД ТЗІ 2.5-005-99 «Класифікація АС і СФПЗ оброблюваної інформації від НСД» в фінансовій компанії інформація циркулює та обробляється в АС класу «2». АС класу «2» - локалізований багатомашинний багатокористувацький комплекс, який обробляє інформацію різних категорій конфіденційності.

В складі АС функціонують такі додаткові технічні засоби:
- джерела безперебійного живлення;
- кабельне обладнання.

Характеристики фізичного середовища

Територія компанії охороняється штатом охоронців у кількості 4 осіб. Крім того, ведеться відеонагляд за територією та в середині приміщення. У компанії запроваджена система електронних перепусток, що зменшує ймовірність загроз вчинити викрадення інформації зловмисником, що не є співробітником фірми, безпосередньо з її території. Оскільки в АС не обробляється інформація, що становить державну таємницю, технічні канали витоку інформації не розглядаються та захист від них не планується.

При побудові плану розташування робочих місць необхідно керуватися такими принципами:
- екрани комп'ютерів не повинні бути повернуті до вікон або дверей;
- робочі місця розміщені таким чином,щоб мінімізувати спостереження за роботою одних користувачів за іншими.

У складі КСЗІ в АС функціонують такі засоби захисту:
- відеоспостереження;
- охоронно-пожежна сигналізація;
- сенсори розбиття скла на вікнах офісу;
- сенсори розкриття дверей приміщень;
- металеві грати на вікнах офісу.

Технічні характеристики каналів зв’язку

Для побудови локальної мережі використовується екранована вита пара. Згідно зі стандартами для захисту мережевого кабелю від зовнішніх пошкоджень використовуються екрановані металеві короба.

Характеристики інформації, що обробляється

Інформація, що обробляється в АС є власністю даної фірми та її клієнтів. В АС даного підприємстві обробляється відкрита та конфіденційна інформація. До конфіденційної інформації відносяться дані, що пов’язані з клієнтами фірми та їх справами, технологічна та ключова інформація. Інформація загального користування є відкритою інформацією.

Шифр

Назва

Тип доступу

1

{БД.К}

База даних - клієнтів

конфіденційна

2

{Д}

Договори

відкрита

3

{П.О}

Перелік обладнання

відкрита

4

{БД.П}

База даних - працівників

конфіденційна

5

{БД.З.Р}

База даних засобів і ресурсів

конфіденційна

6

{БД.Т.К}

База даних телефонів клієнтів

конфіденційна

7

{БД.Т.П}

База даних телефонів працівників

відкрита

8

{П}

Партнери

відкрита

9

{Ж.К.}

Журнал користувачів

відкрита

10

{Ж.Д.}

Журнал досягнень

відкрита

Характеристики персоналу та користувачів АС

До середовища персоналу установи та користувачів автоматизованої системи належать технічний та обслуговуючий персонал, системні адміністратори, адміністратор безпеки, працівники служби охорони, бухгалтери, маркетологи, секретар, працівники відділу роботи з клієнтами, керівники відділів, директор.

Найнижчі повноважень щодо допуску до відомостей, які обробляються в ІТС мають технічний та обслуговуючий персонал, а також працівники служби охорони. Достатньо високі повноваження мають працівники маркетингового відділу та відділу інформаційних технологій, дирекція. Найбільше повноваження щодо управління КСЗІ має адміністратор безпеки, дещо нижчий пріоритет у працівників служби безпеки та системних адміністраторів.

Працівники першого поверху мають доступ тільки до даних, що містяться на серверах першого поверху, працівники ж другого поверху переважно мають доступ до інформації, що зберігається на серверах другого поверху.

Вхід до серверних приміщень та приміщень для зберігання документів, звітів про діяльність компанії, зареєстрованих носіїв інформації, даних відео нагляду та спостереження, журнали відвідувань і т. д. мають лише дирекція та особи, яким надається допуск до цих матеріалів.

3. Формування моделі загроз для інформації в АС

Основою для проведення аналізу ризиків і формування вимог до КСЗІ є розробка моделі загроз для інформації та моделі порушника. Для створення моделі загроз необхідно скласти перелік суттєвих загроз, описати методи і способи їхнього здійснення.

Загрози в АС можуть здійснюватися шляхом:
- підключення до апаратури та ліній зв'язку,
- маскування під зареєстрованого користувача,
- подолання заходів захисту з метою використання інформації або нав'язування хибної інформації,
- застосування закладних пристроїв чи програм,
- використання комп'ютерних антивірусів тощо.

Загрози для інформації, що обробляється в АС, залежать від характеристик ОС, персоналу, технологій обробки та інших чинників і можуть мати об'єктивну або суб'єктивну природу. Загрози, що мають суб'єктивну природу, поділяються на випадкові (ненавмисні) та навмисні.

Мають бути визначені основні види загроз для безпеки інформації, які можуть бути реалізовані стосовно АС і повинні враховуватись у моделі загроз, наприклад:
- зміна умов фізичного середовища (стихійні лиха і аварії, як землетрус, повінь, пожежа або інші випадкові події);
- збої і відмови у роботі обладнання та технічних засобів АС;
- наслідки помилок під час проектування та розробки компонентів АС (технічних засобів, технології обробки інформації, програмних засобів, засобів захисту, структур даних тощо);
- помилки персоналу (користувачів) АС під час експлуатації;
- навмисні дії (спроби) потенційних порушників.

Необхідно визначити перелік можливих загроз і класифікувати їх за результатом впливу на інформацію, тобто на порушення яких властивостей вони спрямовані (конфіденційності, цілісності та доступності інформації), а також порушення спостережності та керованості АС.

Випадковими загрозами суб’єктивної природи (дії, які здійснюються персоналом або користувачами по неуважності, недбалості, незнанню тощо, але без навмисного наміру) можуть бути:
- дії, що призводять до відмови АС (окремих компонентів), руйнування апаратних, програмних, інформаційних ресурсів (обладнання, каналів зв'язку, видалення даних, програм та ін.);
- ненавмисне пошкодження носіїв інформації;
- неправомірна зміна режимів роботи АС (окремих компонентів, обладнання, ПЗ тощо), ініціювання тестуючих або технологічних процесів, які здатні призвести до незворотних змін у системі (наприклад, форматування носіїв інформації);
- ненавмисне зараження ПЗ комп’ютерними вірусами;
- невиконання організаційних заходів захисту згідно вимог чинних в АС розпорядчих документів;
- помилки під час введення даних в систему, виведення даних за невірними адресами пристроїв, внутрішніх і зовнішніх абонентів тощо;
- будь-які дії, що можуть призвести до розголошення конфіденційних відомостей, атрибутів розмежування доступу, втрати атрибутів тощо;
- неправомірне впровадження і використання забороненого політикою безпеки ПЗ (наприклад, навчальні та ігрові програми, системне і прикладне забезпечення та ін.);
- наслідки некомпетентного застосування засобів захисту;
- інші.

Навмисними загрозами суб'єктивної природи, спрямованими на дезорганізацію роботи АС (окремих компонентів) або виведення її з ладу, проникнення в систему і одержання можливості несанкціонованого доступу до її ресурсів, можуть бути:
- порушення фізичної цілісності АС (окремих компонентів, пристроїв, обладнання, носіїв інформації);
- порушення режимів функціонування (виведення з ладу) систем життєзабезпечення АС (електроживлення, заземлення, охоронної сигналізації, вентиляції та ін.);
- порушення режимів функціонування АС (обладнання і ПЗ);
- впровадження і використання комп'ютерних вірусів, закладних (апаратних і програмних) і підслуховуючих пристроїв, інших засобів розвідки;
- використання (шантаж, підкуп тощо) з корисливою метою персоналу АС;
- крадіжки носіїв інформації, виробничих відходів (роздруків, записів, тощо);
- несанкціоноване копіювання носіїв інформації;
- читання залишкової інформації з оперативної пам'яті ЕОМ, зовнішніх накопичувачів;
- одержання атрибутів доступу з наступним їх використанням для маскування під зареєстрованого користувача («маскарад»);
- неправомірне підключення до каналів зв'язку, перехоплення даних, що передаються, аналіз трафіку тощо;
- впровадження і використання забороненого політикою безпеки ПЗ або несанкціоноване використання ПЗ, за допомогою якого можна одержати доступ до критичної інформації (наприклад, аналізаторів безпеки мереж);
- інші.

Класифікація потенційних загроз інформації, що обробляється в АС

 №

Дже-рело

 Природа

 Загроза

Наслідки

Ресурси

К

Ц

Д

С

1

Зов-нішнє

Об'єктивна

Стихійні явища

 

+

+

 

Всі

2

Зов-нішнє

Об'єк-тивна

Збої та відмови системи електроживлення

 

+

+

 

Всі

3

Внут-рішнє

Об’єктивна

Збої та відмови обчислювальної техніки

 

+

+

 

Всі

4

Внут-рішнє

Об'єктивна

Збої, відмови та пошкодження носіїв інформації

 

+

+

 

Всі

5

Внут-рішнє

Об'єктивна

Збої та відмови програмного забезпечення

 

+

+

 

Всі

6

Внут-рішнє

Об'єктивна

Відмова в доступі користувачу АС в результаті помилки ПЗ

 

 

+

 

Окремі

7

Зов-нішнє

Суб'єк-тивна

Навмисна/ ненавмисна

Ураження програмного забезпечення комп’ютерними вірусами

+

+

+

+

Всі

8

Внут-рішнє

Суб'єк-тивна

Навмисна/ ненавмисна

Несанкціоноване внесення змін до технічних засобів, в програмне забезпечення, що призводять до зміни режиму роботи чи відмови АС

 

+

+

+

Окремі

9

Внут-рішнє

Суб'єк-тивна

Навмисна/ ненавмисна

Порушення адміністратором безпеки реалізації ПРД

+

+

+

+

Окремі

10

Внут-рішнє

Суб’єк-тивна

Ненавмисна

Втрата атрибутів розмежування доступу

+

+

+

 

всі

11

Внут-рішнє

Суб’єк-тивна

Навмисна

Неправомірне впровадження і використання забороненого політикою безпеки ПЗ

+

+

+

+

всі

12

Зов-нішнє

Суб’єк-тивна

Навмисна

Використання з корисливою метою персоналу АС

+

+

+

+

Окремі

13

Зов-нішнє

Суб’єк-тивна

Навмисна

Несанкціонований доступ до приміщення АС

+

+

+

+

всі

14

Зов-нішнє

Суб’єк-тивна

Навмисна

Вербування працівників підприємства

+

+

 

 

всі

15

Зовн./ Внутр.

Суб’єк-тивна

Навмисна

Розкрадання матеріальних носіїв інформації

+

+

 

 

всі

16

Внут-рішнє

Суб’єк-тивна

Навмисна

Читання залишеної інформації

+

 

 

 

Окремі

17

Внут-рішнє

Суб’єк-тивна

Ненавмисна

Ненавмисне псування матеріальних носіїв інформації

 

 

+

 

всі

4. Формування моделі порушника політики безпеки

Під порушником розуміється особа, яка зробила спробу виконання заборонених операцій помилково, не знаючи або навмисно зі злим помислом (корисним інтересом) або без таких (заради гри, самоствердження), заради самоствердження або помсти, використовуючи для цього різні способи і методи, можливості і засоби.

Порушник може використовувати різноманітні методи та засоби для доступу до ІзОД. Якщо порушник діє навмисне, з корисних мотивів, то будемо називати його зловмисником. Зловмисники винятково якісно вивчають системи безпеки в ІТС перед проникненням до неї.

Необхідно оцінити збитки, які можуть мати місце у випадку витоку інформації або при будь-якому іншому порушенні системи безпеки, а також ймовірність нанесення подібних збитків. Для визначення адекватності вартості системи захисту, слід зіставити розміри збитків і ймовірність їх нанесення з розмірами затрат на забезпечення захисту. Проте, реальну вартість інформації оцінити дуже важко, тому зазвичай використовують не кількісні, а якісні експертні оцінки.

Найчастіше будується неформалізована модель порушника (зловмисника), що відображає причини й мотиви дій, його можливості, знання, цілі, основні шляхи досягнення поставлених цілей - способи реалізації загроз, місце і характер дії, можлива тактика і т. д. Для досягнення поставлених цілей зловмисник повинен прикласти деякі зусилля і затратити деякі ресурси. Порушники класифікуються за рівнем можливостей, що надаються їм штатними засобами АС. Виділяються чотири рівні цих можливостей.

Класифікація є ієрархічною, тобто кожний наступний рівень включає в себе функціональні можливості попереднього:

- перший рівень визначає найнижчий рівень можливостей проведення діалогу з АС - можливість запуску фіксованого набору завдань (програм), що реалізують заздалегідь передбачені функції обробки інформації;

- другий рівень визначається можливістю створення і запуску власних програм з новими функціями обробки інформації;

- третій рівень визначається можливістю управління функціонуванням АС, тобто впливом на базове програмне забезпечення системи і на склад і конфігурацію її устаткування;

- четвертий рівень визначається всім обсягом можливостей осіб, що забезпечують функцінування КЗЗ в АС, аж до включення до складу АС власних засобів з новими функціями обробки та захисту інформації.

Порушником по відношенню до АС можуть бути особи з персоналу і користувачів системи, а також сторонні особи.

Можливі внутрішні порушники :
- кінцеві користувачі (оператори системи), персонал (перший рівень);
- співробітники служби безпеки установи (перший рівень);
- керівники різних рівнів (перший рівень);
- системний адміністратор та особи, що обслуговують технічні засоби (третій рівень);
- адміністратор безпеки в АС (четвертий рівень).

Можливі зовнішні порушники (сторонні особи):
- технічний персонал, обслуговуючий будівлю (перший рівень);
- клієнти (перший рівень);
- представники організацій-конкурентів (другий рівень);
- відвідувачі, запрошені з будь-якого приводу (другий рівень).

Припускається, що в своєму рівні порушник - це фахівець вищої кваліфікації, який має повну інформацію про АС і КЗЗ. Порушник може здійснювати несанкціонований доступ до інформації або під час роботи автоматизованої системи, або в період неактивності автоматизованої системи, або ж суміщаючи робочий і не робочий час. У КСЗІ в АС передбачаються, розглядаються і розробляються усі 4 рівні порушників.

Модель порушника

Користувач АС

Рівень порушника

1.

Внутрішні

1.1

Адміністратор безпеки

ІV

1.2

Системний адміністратор

ІІІ

1.3

Персонал

І

2.

Зовнішні

2.1

Працівник служби охорони

І

2.2

Працівник комунальних служб

І

2.3

Конкуренти

ІІ

2.3

Клієнт

І

5. Розробка політики безпеки

Мета реалізації політики безпеки

Основною метою реалізації політики безпеки є забезпечення ефективного функціонування компанії, для чого необхідно забезпечити захист оброблюваної на підприємстві інформації від несанкціонованого доступу. Політика безпеки має на меті розробку та впровадження правил та норм внутрішнього режиму праці на підприємстві, режиму доступу та допуску до важливих об'єктів, їх охорона, середовище розміщень.

Загальні вимоги політики безпеки

Під час розробки політики безпеки були враховані технологія обробки інформації, описані вище моделі порушників і загроз, особливості ОС, фізичного середовища та інші чинники. В АС реалізовано декілька різних політик безпеки, які істотно відрізняються. Як складові частини загальної політики безпеки в АС існують політики забезпечення конфіденційності, цілісності, доступності оброблюваної інформації.

Політика безпеки стосується: інформації (рівня критичності ресурсів АС), взаємодії об'єктів (правил, відповідальності за захист інформації, гарантій захисту), області застосування (яких складових компонентів АС політика безпеки стосується, а яких - ні).

Політика безпеки розроблена таким чином, що вона не потребує частої модифікації. Політика безпеки передбачає використання всіх можливих заходів захисту інформації(правові та морально-етичні норми, організаційні, фізичні, технічні заходи) і визначає правила та порядок застосування в АС кожного з цих видів.

Політика безпеки базується на наступних основних принципах:
- системності;
- комплексності;
- неперервності захисту;
- достатності механізмів і заходів захисту та їхньої адекватності загрозам;
- гнучкості керування системою захисту, простоти і зручності її використання;
- відкритості алгоритмів і механізмів захисту, якщо інше не передбачено окремо.

Політика безпеки дає гарантії того, що:
- в АС забезпечується адекватність рівня захисту інформації рівню її критичності;
- реалізація заходів захисту інформації є рентабельною;
- в будь-якому середовищі функціонування АС забезпечується оцінюваність і перевіряємість захищеності інформації;
- забезпечується персоніфікація положень політики безпеки (стосовно суб'єктів АС), звітність (реєстрація, аудит) для всіх критичних з точки зору безпеки ресурсів, до яких здійснюється доступ в процесі функціонування АС;
- персонал і користувачі забезпечені достатньо повним комплектом документації стосовно порядку забезпечення захисту інформації;
- всі критичні з точки зору безпеки інформації технології (функції) АС мають відповідні плани забезпечення неперервної роботи та її поновлення у разі виникнення непередбачених ситуацій;
- враховані вимоги всіх документів, які регламентують порядок захисту інформації в АС, та забезпечується їхнє суворе дотримання.

Вибір ФПЗ оброблюваної інформації від НСД

З точки зору забезпечення безпеки інформації АС або КЗЗ можна розглядати як набір функціональних послуг. Кожна послуга являє собою набір функцій, що дозволяють протистояти деякій множині загроз.

Згідно з аналізом роботи АС та відповідних експертиз визначено, що в АС циркулює інформація, яка потребує захисту. Ця інформація поділяється на відкриту інформацію, що потребує захисту, та інформацію з обмеженим доступом (далі - ІзОД), а саме: конфіденційну інформацію (персональні дані).

Згідно вимог ДСТУ 3396.1-96 найбільш підходящим варіантом захисту є такий варіант: досягнення необхідного рівня захисту ІзОД за допустимих затрат і заданого рівня обмежень видів інформаційної діяльності.

Відповідно до НД ТЗІ 2.5-005-99 потрібно визначити ФПЗ інформації. Перш за все нам потрібно забезпечити конфіденційність інформації, яка визначена як ІзОД. Крім того, у компанії обробляється відкрита інформація, що потребує захисту (деякі номери рахунків активів компанії, інформація про діяльність компанії і т.д.). Для такої інформації потрібно забезпечити цілісність.

Відповідно до НД ТЗІ 2.5-005-99 застосуємо функціональний профіль захищеності в АС класу «2» з підвищеними вимогами до забезпечення конфіденційності і цілісності інформації:

2.КЦ.5 = { КД-3, КА-3, КО-1, КК-1, ЦД-1, ЦА-3, ЦО-2, НР-4, НИ-2, НК-1, НО-3, НЦ-3, НТ-2 }

Позначення послуг конфіденційності:
КД - довірча конфіденційність;
КА - адміністративна конфіденційність;
КО - повторне використання об'єктів;
КК - аналіз прихованих каналів.

Позначення послуг цілісності:
ЦД - довірча цілісність;
ЦА - адміністративна цілісність;
ЦО - відкат.

Позначення послуг спостереженості:
НР - реєстрація;
НИ - ідентифікація і автентифікація;
НК - достовірний канал;
НО - розподіл обов'язків;
НЦ - цілісність КЗЗ;
НТ - самотестування при старті.

Правила розмежування доступу користувачів та процесів до інформації в АС (ПРД)

ПРД забезпечуються виконанням таких заходів:

- налагоджуються засоби захисту ОС та, за необхідності, встановлюється додаткове КЗЗ;

- усі особи, які беруть участь в обробленні ІзОД в ІТС, повинні бути зареєстровані як користувачі ІТС;

- користувачі проходять процедуру автентифікації для отримання доступу до ресурсів ІТС;

- кожний користувач має свій унікальний ідентифікатор і пароль. Право видачі цих атрибутів надається адміністратору. Атрибути для адміністраторів надає адміністратор безпеки ІТС. Видача атрибутів дозволяється тільки після документальної реєстрації особи як користувача. Користувачам забороняється спільне використання персональних атрибутів;

- атрибути користувачів періодично змінюються, а невикористовувані і скомпрометовані - видаляються;

- надання доступу до ІзОД здійснюється з урахуванням наданих згідно зі службовою необхідністю повноважень, за умови достовірного розпізнавання користувачів встановленим КЗЗ. КЗЗ забезпечує можливість своєчасного доступу зареєстрованих користувачів до ІзОД;

- кожний користувач має машинні носії ІзОД (далі - МНІ), які закріплені за ним персонально, які він отримує за своїм підписом та підписом адміністратора безпеки в «Журналі обліку МНІ»;

- усі користувачі повинні знати «Інструкцію користувача» (пройти відповідний курс навчання та скласти іспит);

- кожне АРМ повинно мати свого адміністратора, який несе відповідальність за його працездатність та за дотримання всіх вимог і процедур, пов’язаних з обробкою інформації та її захистом. Таку роль може виконувати уповноважений користувач. Цей користувач повинен бути забезпечений відповідними інструкціями і навчений всім вимогам і процедурам;

- для попередження неавторизованого доступу до даних, ПЗ, інших ресурсів ІТС, керування механізмами захисту здійснюється адміністратором безпеки ІТС;

- для попередження поширення комп’ютерних вірусів відповідальність за дотримання правил використання ПЗ несуть: на АРМ - користувачі та адміністратор, в ІТС - адміністратор безпеки ІТС. Використовуватись повинно тільки ПЗ, яке дозволено політикою безпеки (ліцензійне, яке має відповідні сертифікати, експертні висновки тощо);

- за всі зміни ПЗ, створення резервних і архівних копій несе відповідальність адміністратор безпеки ІТС, такі роботи виконуються тільки з його дозволу;

- процедури використання активного мережевого обладнання, а також окремих видів ПЗ, яке може суттєво впливати на безпеку (аналізатори трафіку, аналізатори безпеки мереж, засоби адміністрування тощо), авторизовані і здійснюються під контролем адміністратора безпеки ІТС;

- адміністратори безпеки та КСЗІ ІТС повсякденно здійснюють перевірку працездатності всіх механізмів захисту інформації в ІТС, ведуть облік критичних з точки зору безпеки подій і  готують звіти щодо цього.

Для кожного відділу створено свою робочу групу (домен) і користувачів, які можуть працювати лише у даній робочій групі, де вони мають наперед встановлені права. Користувача однієї робочої групи не може бути аутентифіковано у іншій. При вході у систему на ПЕОМ АС завантажуються особисті дані з файлового сервера та сервера баз даних.

Розподіл обов'язків щодо виконання заходів, передбачених політикою безпеки

Адміністратор безпеки володіє всіма правами по установці і налаштуванню КСЗІ створює, видаляє облікові записи співробітників, слідкує за додержанням правил розмежування доступу, вносить зміни до них при зміні посади певного співробітника, а також при допуску до певної інформації.

Системний адміністратор слідкую за правильним функціонуванням комп’ютерної системи, проводить планові перевірки її компонентів, вирішує технічні проблеми АС при їх виникненні.

Працівник служби охорони проводить відео спостереження, реєструє відвідувачів у відповідному журна відповідає за дотриманням правил допуску до серверних приміщень та приміщень для зберігання документів, звітів про діяльність компанії, зареєстрованих носіїв інформації, даних відео нагляду та спостереження, журнали відвідувань і т. д., відповідає за безпеку установи і співробітників.

Дирекція координує роботу адміністратора безпеки та служби безпеки. Служба безпеки, системні адміністратори та адміністратори безпеки узгоджують свою роботу.

6. Система документів з забезпечення захисту інформації в АС

Захист інформації в АС регламентується такими документами:

- Закон України «Про захист інформації в ІТС»;

- Правила забезпечення захисту інформації в ІТС, затверджені ПКМУ № 373-2006;

- ДСТУ 3396.0-96 Технічний захист інформації. Основні положення;

- ДСТУ 3396.1-96 Технічний захист інформації. Порядок проведення робіт;

- ДСТУ 3396.2-97 Технічний захист інформації. Терміни та визначення;

- НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в комп’ютерних системах від несанкціонованого доступу;

- НД ТЗІ 1.1-003-99 Термінологія у галузі захисту інформації в комп'ютерних системах від несанкціонованого доступу;

- НД ТЗІ 1.4-001-00 Типове положення про службу захисту інформації в автоматизованій системі;

- НД ТЗІ 1.6-005-2013 Положення про категоріювання об’єктів, де циркулює інформація з обмеженим доступом, що не становить державної таємниці;

- НД ТЗІ 2.1-001-01 Створення комплексів технічного захисту інформації. Атестація комплексів. Основні положення;

- НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу;

- НД ТЗІ 2.5-005-99 Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу;

- НД ТЗІ 2.5-008-2002 Вимоги із захисту службової інформації від НСД під час оброблення в АС класу 2;

- НД ТЗІ 3.7-001-99 Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі;

- НД ТЗІ 3.7-003-05 Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі.

Нормативні, організаційно-розпорядчі та інші документи, що використовуються в АС:

- положення про захист інформації в АС;

- інструкції про порядок реалізації організаційних, первинних технічних та основних технічних заходів захисту, інструкції про порядок введення в експлуатацію КСЗІ, про порядок її модернізації, про порядок обробки ІзОД в АС, про порядок використання криптографічних засобів;

- правила управління паролями в АС, правила видачі, вилучення та обміну персональних ідентифікаторів, атрибутів розмежування доступу;

- інструкції, що встановлюють повноваження та відповідальність персоналу і користувачів;

- плани виконання робіт та здійснення окремих заходів з захисту інформації в АС.

В АС також складається календарний план робіт з реалізації заходів захисту інформації в АС, який містить такі заходи:
- організаційні;
- контрольно-профілактичні;
- інженерно-технічні;
- кадрові.

----------------------------------------------------------------------------------------------------

Книга | Автор | Статьи | Фильмы | Фото | Ссылки | Отзывы

Контакт | Студентам | Ветеранам | Астрология | Карта сайта



Рейтинг@Mail.ru Яндекс.Метрика