Поверка состояния информационной безопасности и совершенствование комплексной системы защиты от информационных угроз на предприятии ЗАО "Абсолют"

Размещено на http://www.allbest.ru/

Федеральное агентство по образованию

Государственное образовательное учреждение высшего профессионального образования

САМАРСКИЙ ГОСУДАРСТВЕННЫЙ ТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ

Россия, 443100, Самара, ул. Молодогвардейская, 244, Главный корпус

Телефон: (846) 278-43-11. Факс(846) 278-44-00. E-mail: postman @ sstu.ru

Факультет автоматики и информационных технологий

Кафедра “Электронные системы и информационная безопасность”

“Комплексная система защиты информации на предприятии”

Курсовая работа на тему:

«Поверка состояния информационной безопасности и совершенствование комплексной системы защиты от информационных угроз на предприятии ЗАО «АБСОЛЮТ»»

Самара

Содержание

ВВЕДЕНИЕ

1.Подготовка к аттестации

1.1 Описание объекта защиты

1.1.1 Характер деятельности

1.1.2 Иерархическая схема сотрудников

1.1.3 План и перечень помещений объекта

1.2 Состав ТС, ориентированных на работу с информацией

1.3 Состав средств информационной защиты, используемой на объекте

2.Проверка состояния ИБ

2.1 Порядок обследования предприятия

2.1.1 Список объектов, подвергаемых обследованию

2.1.2 Обследование объекта

2.1.3 Вопросы о состоянии безопасности

2.2 Определение типовых компонентов организации

2.2.1 Список сотрудников предприятия

2.2.2 Служебные функции сотрудников предприятия

2.2.3 Схема информационных потоков предприятия

2.2.4 Иерархическая структура сотрудников предприятия

2.3 Определение дестабилизирующих воздействий на целостность информационной системы предприятия

2.3.1 Примеры факторов, оказывающих дестабилизирующее воздействие

2.3.2 Факторы дестабилизирующего воздействия ЗАО «АБСОЛЮТ»

2.4 Выявление нарушения целостности информационной системы

2.4.1 Теоретические данные

2.4.2 Способы контроля за целостностью информационной системы

3. Меры для повышения уровня защищённости информационной системы

3.1 Организационные меры по ЗИ

3.2 Моделирование управления доступом к служебной информации. Полномочный и избирательный доступ

3.3 Совершенствование ТСЗИ

4. Повторная проверка уровня защищённости предприятия от информационных угроз

4.1 Действия при проверке объектов

4.2 Список контрольных вопросов

4.3 Система оценок

ЗАКЛЮЧЕНИЕ

Литература

ВВЕДЕНИЕ

Цель нашей работы- описание и проверка предприятия с точки зрения уровня защищённости о информационных угроз.

Проблема информационных угроз на предприятиях, работающих с информацией очень актуальна сегодня. Организации постоянно совершенствуют свой уровень технических и организационных мер по защите информации.

Мы также, после полной проверки предприятия ЗАО «АБСОЛЮТ», попробуем усовершенствовать его систему информационной защиты, путём моделирования доступа к информации, и предложения новых технических средств защиты информации.

1. Подготовка к аттестации информационного объекта

1.1 Описание объекта защиты

1.1.1 Характер деятельности

Рассматривается бухгалтерский отдел предприятия ЗАО «Абсолют».

ЗАО «АБСОЛЮТ»

Юридический адрес г. Самара, Ул. Н.Панова 33, строение 1

ВРЕМЯ РАБОТЫ: ПН-ПТ с 10 до 18, СБ с 12 до 14, ВС - выходной

Контактные телефоны: 8 908 333 23 23 и 8 919 800 11 12

ЭЛЕКТРОННЫЙ АДРЕС: slavik&dimon@mail.ru

ХАРАКТЕР ДЕЯТЕЛЬНОСТИ: Предприятие осуществляет деятельность, связанную с добычей и реализации нефти и природного газа. Оказывает услуги по ремонту и обслуживанию нефтяных установок , нефтепровода и газопровода. Услуги по транспортировке нефти.

Бухгалтерский отдел ЗАО «АБСОЛЮТ»

Юридический адрес г. Самара, Ул. Н.Панова 33, строение 1

ВРЕМЯ РАБОТЫ: ПН-ПТ с 10 до 18, СБ и ВС - выходные дни

Контактные телефоны: 8 908 333 23 23 и 8 919 800 11 12

ХАРАКТЕР ДЕЯТЕЛЬНОСТИ: Рассчётно-кассовые и другие валютные операции, уплата налогов, заработная плата, изведение расчета прибыли и убытков предприятия. Ведение бухгалтерского учёта и сопутствующей документации.

ЭЛЕКТРОННЫЙ АДРЕС: slavik&dimonmoney$$$@mail.ru

1.1.2 Иерархическая схема сотрудников предприятия

ДИРЕКТОР

ГЛАВНЫЙ БУХГАЛТЕР

ЗАМЕСТИТЕЛЬ ГЛАВНОГО БУХГАЛТЕРА

БУХГАЛТЕР БУХГАЛТЕР

Рисунок 1. Иерархическая схема сотрудников предприятия

1.1.3 План и перечень помещений информационного объекта

Помещение офиса ЗАО «АБСОЛЮТ» состоит из 4 комнат и КПП на входе в офис

КОМНАТЫ И ИХ НАЗНАЧЕНИЕ:

Кабинет директора: комната директора предприятия, используемая им для работы

Комната отдыха : помещение для кратковременного отдыха сотрудников

Комната совещаний: помещения для проведения совещаний, заседаний руководства предприятия и решения важных деловых вопросов, касающихся работы предприятия

Бухгалтерия: помещение для работы бухгалтеров, и хранения сейфов предприятия

ПЛАН ПОМЕЩЕНИЯ:

Рис.1 План помещения

1.2 Состав технических средств, ориентированных на работу с информацией

СРЕДСТВА РАБОТЫ С ИНФОРМАЦИЕЙ

В данной таблице отображены все средства, предназначенные для работы с информацией, находящиеся в ЗАО «Абсолют»

Таблица 1. Средства, ориентированные на работу с информацией

ПОМЕЩЕНИЕ	ТЕХНИЧЕСКИЕ СРЕДСТВА РАБОТЫ С ИНФОРМАЦИЕЙ	ДРУГИЕ СРЕДСТВА РАБОТЫ С ИНФОРМАЦИЕЙ
Вход, КПП	Турникеты, телефон внутренней связи	Журнал учёта входа-выхода
Кабинет директора	Компьютер, телефон-факс	Бумажные носители
Бухгалтерия	Компьютеры, 4 шт, рассчётно-кассовые аппараты, 2 шт, телефоны -4 шт, факсы 2 шт	Бумажные носители
Комната отдыха	отсутствуют	отсутствуют
Комната совещаний	Монитор для презентаций, телефон, телефон внутренней связи	Бумажные носители

1.3 Состав средств информационной защиты, используемых на объекте

УСЛОВНЫЕ ОБОЗНАЧЕНИЯ:

В- вход

КС- комната совещаний

КО- комната отдыха

Б- бухгалтерия

КД- кабинет директора

В данной таблице отображены уже использующиеся средства информационной защиты ЗАО «Абсолют». Также указаны места их установки и действия

Таблица 2. Средства информационной защиты

Перечень технических средств	Место работы, установки
турникеты	В
видеокамеры	В, КС, КО, Б
Металлические решетки на окна с возможностью экстренного открывания изнутри в случае пожара	КД, Б, КО, КС
Тревожные кнопки, связанные с отделом вневедомственной охраны, использующиеся с целью вызова группы немедленного реагирования	Все помещения
Компьютерный учёт прихода-ухода из офиса и контроля и записи посетителей	В
Противопожарные сигнализации и системы оповещения и пожаротушения	Все помещения

2. Проверка состояния информационной безопасности

2.1 Порядок обследования предприятия

2.1.1 Список объектов, подвергаемых обследованию

В данной таблице отображены предварительно выявленные объекты, которые должны подлежать обязательной проверке.

Таблица 3. Объекты, подвергаемые проверке

Помещение	Список объектов, подвергаемых аудиту
Вход, КПП	Камеры наблюдения, турникеты, железная дверь, тревожная кнопка
Кабинет директора	Компьютер, сейф, физическая защита (двери, решётки), тревожная кнопка, сеть
Бухгалтерия	Компьютеры, сейфы, физическая защита (двери, решётки), тревожная кнопка, сеть
Коридор	Камеры наблюдения
Комната совещаний	Камеры наблюдения, тревожная кнопка, физическая защита
Комната отдыха	Камеры наблюдения, физическая защита, тревожная кнопка

2.1.2 Обследование объекта

В данной таблице указаны объекты, подвергаемые аудиту и конкретные действия, которые будут осуществляться при их проверке.

Таблица 4. Проверка объектов на состояние информационной безопасности

Объект, подвергаемый аудиту	Действия при проверке, методы проверки
Железные двери	1. Физический осмотр объекта 2. проверка наличия усиленных замков по средствам просмотра заводской документации на двери и (или) замки
Решётки на окнах	1. Физический осмотр 2. проверка прочности путём оказания сильного давления (на усмотрение проверяющего)
Камеры наблюдения	1. Физический осмотр 2. оценка качества полученной видеозаписи 3. Проверка качества записи при выключенном освещении
Сейфы	1. Физический осмотр 2. проверка замков путём физического осмотра 3. составление списка лиц , обладающих ключами от того или иного сейфа
Тревожные кнопки	1. Проверка на возможность несанкционированного отключения путём осмотра конструкции и проводов
Рабочие компьютеры	1. Проверка работы антивируса путём намеренного запуска в систему заражённого файла 2. проверка сетей на возможность несанкционированного подключения, проверка обновления вирусных баз 3. Проверка системы на наличие паролей

2.1.3. Вопросы о состоянии безопасности

Таблица будет содержать список общих вопросов о состоянии информационной безопасности объекта. Список вопросов содержит в себе минимальные требования для бесперебойной работы предприятия в режиме защиты «выше среднего»

Таблица 5. Вопросы по состоянию информационной безопасности

Вопросы, касающиеся безопасности объёкта	Варианты ответов
Установлена ли железная дверь на входе?	Да/НЕТ
Установлены ли решётки на окнах?	Да/НЕТ
Осуществляется ли на предприятии пропускной режим?	Да/НЕТ
Установлена ли в офисе предприятия система тревожных кнопок?	Да/НЕТ
Установлены ли на дверях противовзломные усиленные замки?	Да/НЕТ
Установлена ли на окнах противовзломная фурнитура?	Да/НЕТ
Осуществляется ли на объекте видеонаблюдение?	Да/НЕТ
Установлены ли в комнатах офиса сейфы для хранения данных?	Да/НЕТ
Существуют ли на предприятии те или иные формы систем учёта и контроля доступа?	Да/НЕТ
Установлены ли антивирусные программы на компьютеры предприятия?	Да/НЕТ
Включён ли на компьютерах предприятия Брандмауэр Windows&	Да/НЕТ
Ведётся ли физическая охрана объекта?	Да/НЕТ
Ведётся ли на территории офиса компьютерный, или иной учёт гостей и посетителей?	Да/НЕТ
Проводятся ли в офисе предприятия регулярные учёты документов, оборудования и т.д.?	Да/НЕТ

2.2 Определение типовых компонентов организации

2.2.1 Список сотрудников предприятия

Список сотрудников компании

Таблица 6. Сотрудники предприятия

Должность	Ф.И.О.	Год рождения	Образование	Стаж работы, лет	Адрес проживания
Директор	Герсимов В.А.	1960	Высшее	18	ул. Революционная, 4-170
Главный бухгалтер	Кокосов Д.С.	1971	Высшее	11	ул.Елизарова, 22-72
Заместитель главного бухгалтера	Лебедев В.С.	1987	Высшее	4	пр.Масленникова, 46-63
Бухгалтер	Кушнир Б.А.	1980	Высшее	9	пр.Ленина, 41-15
Бухгалтер	Алехандров А.П.	1984	Высшее	5	ул.Ново-Садовая, 2-18

2.2.2 Служебные функции сотрудников предприятия

Служебные функции персонала

1) Директор:

· Заключает договора;

· Составляет бизнес план;

· Сотрудничает с рекламными агентствами;

· Следит за финансовой отчетностью;

· Сотрудничает с фирмами-поставщиками.

2) Главный бухгалтер:

· Ведет финансовую документацию;

· Дает указания бухгалтерам;

· Начисляет заработанную плату;

· Контролирует работу бухгалтеров.

3) Заместитель главного бухгалтера:

· Исполняет обязанности главного бухгалтера в его отсутствие;

· Ведет финансовую документацию;

· Начисляет заработную плату.

4) Бухгалтер:

· Ведет финансовую документацию

2.2.3 Схема информационных потоков предприятия

Рисунок 2. Схема информационных потоков предприятия

ПОЯСНЕНИЯ К РИСУНКУ 2:

Ф- финансовая документация

ПД- персональные данные

А- административные документы

2.2.4 Иерархическая схема сотрудников предприятия

Во главе всего предприятия стоит директор, он же и является непосредственным начальником бухгалтерского отдела. В подчинении у директора состоят следующие сотрудники бухгалтерского отдела:

-Главный бухгалтер

-Заместитель главного бухгалтера

-Бухгалтера, 2 человека

Далее в свою очередь Заместитель главного бухгалтера и двое бухгалтеров подчиняются главному бухгалтеру и директору. Иерархическую схему сотрудников предприятия можно рассмотреть в виде рисунка в 1 главе, обратившись к рисунку 1.

2.3 Определение возможных дестабилизирующих воздействий на целостность информационной системы предприятия

2.3.1 Примеры факторов, оказывающих дестабилизирующее воздействие

Таблица 7. Примеры факторов дестабилизирующего воздействия

Наименование группы ПНЦИ	Наименование ПНЦИ
Отказ основной аппаратуры	Полный выход аппаратуры из строя Неправильное выполнение функций
Отказы программ	Искажение кода операции Искажение адреса выборки Искажение адреса отсылки Искажение адреса передачи управления Уничтожение фрагментов программ Неправильное размещение программ в ЗУ
Отказы людей	Полный выход из строя Систематическое неправильное выполнение функций
Отказы носителей информации	Физическое разрушение носителя Невосстанавливаемое ухудшение характеристик носителя
Отказы систем питания	Аварийное выключение питания Повреждение линий электропитания Невосстанавливаемое повышение напряжения Невосстанавливаемое понижение напряжения Невосстанавливаемое изменение частоты тока
Отказы систем обеспечения нормальных условий работы аппаратуры и персонала	Отключение систем кондиционирования Невосстанавливаемое снижение производительности систем кондиционирования Необеспечение системой кондиционирования необходимой производительности Отключение других систем обеспечения нормальных условий работы аппаратуры и персонала
Отказы систем передачи данных	Полный выход из строя канала связи Полный выход из строя средств связи Неправильное выполнение функций каналом связи Неправильное выполнение функций средствами связи
Отказы вспомогательных материалов	Неисправимые дефекты красящей ленты Неисправимые дефекты бумаги для устройства печати
Сбои основной аппаратуры	Неправильное выполнение функций печатного оборудования Геликон-С
Сбои программы	Искажение рекламного проекта Искажение клиентской базы рекламных проектов Искажение базы сотрудников фирмы Неправильное размещение программ БД в ЗУ
Сбои людей	Разовое неправильное выполнение функций: рекламных проектов, редактирование БД клиентов
Сбои носителей информации	Временное ухудшение характеристик носителя: невозможность чтения/записи и тд
Сбои систем питания	Временное повышение напряжения Временное понижение напряжения Временное изменение частоты тока
Сбои систем обеспечения нормальных условий работы	Временное отключение систем кондиционирования Геликон-С Временное снижение производительности систем кондиционирования Временное необеспечение системой кондиционирования необходимой производительности Временное отключение других систем обеспечения нормальных условий работы аппаратуры и персонала
Сбои систем передачи данных	Неправильное выполнение функций средствами связи: телефон, факс, интернет
Сбои вспомогательных материалов	Устранимые дефекты бумаги для устройства печати
Ошибки основной аппаратуры	Неправильная печать плотером/принтером, искажение рекламного текста
Ошибки программ	Ошибки Photoshop Ошибки CorelDraw Ошибки Программы Базы Данных клиентов
Ошибки людей	Запись неправильной рекламы; Вставка другие рисунков в рекламу; Ошибки в рекламе
Ошибки систем передачи данных	Неправильная работа лок. сети Геликон-С Неправильная работа факсов и тд
Пожар	Уничтожение носителей информации Повреждение носителей информации Уничтожение основной аппаратуры Повреждение основной аппаратуры Уничтожение систем питания Повреждение систем питания Полный выход из строя систем передачи данных Частичный выход из строя систем передачи данных
Наводнение
Землетрясение
Ураган
Взрыв
Авария
Хищение	Утрата носителей информации, содержащих копии рекламных проектов, рекламные буклеты и т.д. Утрата информации, содержащейся в АСОД: клиентской базы, рекламных проектов, БД сотрудников.
Подмена	Искажение базы рекламы Искажение клиентской базы Подмена базы клиентов, сотрудников
Подключение	Несанкционированный доступ к системе передачи данных Несанкционированный доступ к информации, содержащейся в АСОД
Поломка	Повреждение носителей информации Повреждение основной аппаратуры Повреждение системы передачи данных Повреждение вспомогательных материалов Повреждение систем обеспечения нормальных условий работы аппаратуры и персонала
Диверсия	Полный выход из строя носителей информации Полный выход из строя основной аппаратуры Полный выход из строя системы передачи данных Полный выход из строя вспомогательных материалов Полный выход из строя систем обеспечения нормальных условий работы аппаратуры и персонала
Электромагнитные излучения устройства АСОД	Утечка информации, содержащейся в АСОД Появление помех в системе передачи данных
Паразитные наводки
Внешние электромагнитные излучения
Вибрация
Внешние атмосферные явления	Утечка информации, содержащейся в АСОД Появление помех в системе передачи данных Уничтожение системы передачи данных Повреждение системы передачи данных

2.3.2 Факторы дестабилизирующего воздействия ЗАО «АБСОЛЮТ»

Здесь представлены факторы дестабилизирующего воздействия и угрозы безопасности с примерными последствиями для ЗАО «Абсолют»

Таблица 8. Факторы дестабилизирующего воздействия в ЗАО «АБСОЛЮТ»

Наименование группы ПНЦИ	Последствия
подключение	Незаконное завладение персональными данными, хищение конфиденциальной информации, или интеллектуальной собственности предприятия
Поломка (повреждение)	Любая поломка ведёт затруднениям в работе предприятия, в плохом случае к полной остановке работы предприятия
диверсия	Хищение, парализация работы предприятия, крах предприятия
Электромагнитные излучения устройств АСОД	Незаконный съём информации, затруднение или остановка работы предприятия
Паразитные наводки	Паразитные наводки приводят к появлению на выходе элемента напряжений и токов, не соответствующих его основному назначению
Внешние электромагнитные излучения	Порча или искажение сигналов, незаконный съём информации
вибрация	Ухудшение работы или выведение из строя устройств и оборудования, необходимых для нормальной работы предприятия
Внешние атмосферные явления	Порча или повреждение ЛЭП, подведённых к предприятию, а также возможность порчи строения офиса предприятия, его кровли или других частей конструкции
Ошибки людей	Очень широкий перечень последствий, от незначительных до краха предприятия
Ошибки систем передачи данных	Получение или передача ложных данных, а также отсутствие возможности работы с данными
Пожар	Уничтожение имущества предприятия, создание возможности для хищения имущества, документов и др. собственности предприятия, человеческие жертвы, возможность незаконного проникновения
наводнения	Повреждение здания офиса предприятия, остановка работы предприятия, человеческие жертвы
землетрясения	Повреждение здания офиса предприятия, остановка работы предприятия, человеческие жертвы
ураган	Повреждение здания офиса предприятия, остановка работы предприятия, человеческие жертвы, повреждение ЛЭП
взрыв	Повреждение здания офиса предприятия, остановка работы предприятия, человеческие жертвы, повреждение ЛЭП, полная остановка работы предприятия
авария	Широкий набор последствий: от незначительных до полной остановки работы предприятия
хищения	Незаконное снятие денежных средств, раскрытие коммерческой тайны или других секретных данных
подмена	Организация неправильной работы предприятия, работа с заведомо ложными данными, потеря денежных средств предприятия
Сбои программ	Широкий набор последствий, от незначительных до полной остановки работы предприятия
Сбой людей	Широкий набор последствий, от незначительных до полной остановки работы предприятия
Сбои систем питания	Временная или частичная остановка работы предприятия, угрозы отключения пожарной или противовзломной сигнализации
Сбои систем обеспечения нормальных условий работы	Полная или частичная остановка работы предприятия, потеря денежных средств
Сбои систем передачи данных	Отсутствие возможности обмена данными, и, как следствие частичная остановка работы предприятия и потеря денежных средств
Сбои систем данных	Остановка работы предприятия, возможность незаконного проникновения в сети и системы данных
Ошибки программ	Широкий набор последствий
Сбои вспомогательных материалов	Существенные помехи в работе предприятия, возможность потери денежных средств
Ошибки основной аппаратуры	Полная или частичная остановка работы предприятия, потеря денежных средств

2.4 Выявление нарушения целостности информационной системы

информационный поток доступ защита

2.4.1 Теоретические данные

Нарушение целостности информации подразумевает, что защищаемая информация претерпела изменения, потеряла достоверность и отличается от информации, которая была получена первоначально как исходная информация. Целостность информации может быть разделена на статическую и динамическую.

Примерами нарушения статической целостности являются:

-вод неверных данных;

-несанкционированное изменение данных;

-изменение программного модуля вирусом;

Примеры нарушения динамической целостности:

-нарушение атомарности транзакций;

-дублирование данных;

-внесение дополнительных пакетов в сетевой трафик

Целостность информации (также целостность данных) -- термин в информатике и теории телекоммуникаций, который означает, что данные полны, условие того, что данные не были изменены при выполнении любой операции над ними, будь то передача, хранение или представление.

В теории баз данных целостность данных означает корректность данных и их непротиворечивость. Обычно она также включает целостность связей, которая исключает ошибки связей между первичным и вторичным ключом. К примеру, когда существуют дочерние записи-сироты, которые не имеют связи с родительскими записями.

Целостность данных -- свойство, при выполнении которого данные сохраняют заранее определённый вид и качество

2.4.2 Способы контроля за целостностью информационной системой

1. Хеширование

Пример проверки целостности данных в криптографии -- это использование хеш-функции, к примеру MD5. Такая функция преобразует совокупность данных в последовательность чисел. Если данные изменятся, то и последовательность чисел, генерируемая хеш-функцией тоже изменится.

Хеш-функции также используются в некоторых структурах данных -- хеш-таблицаx, фильтрах Блума и декартовых деревьях. Требования к хеш-функции в этом случае другие:

-Хорошая перемешиваемость данных;

-быстрый алгоритм вычисления.

2. Модель контроля целостности данных

Рассмотрим вариант модели контроля целостности данных на примере модели Кларка-Вильсона.

Модель Кларка-Вилсона появилась в результате проведенного авторами анализа реально применяемых методов обеспечения целостности документооборота в коммерческих компаниях. Она изначально ориентирована на нужды коммерческих заказчиков, и, по мнению авторов, более адекватна их требованиям, чем предложенная ранее коммерческая интерпретация модели целостности на основе решеток. Основные понятия рассматриваемой модели - это корректность транзакций и разграничение функциональных обязанностей. Модель задает правила функционирования компьютерной системы и определяет две категории объектов данных и два класса операций над ними.

Все содержащиеся в системе данные подразделяются на контролируемые (КЭД) и неконтролируемые (НЭД) элементы соответственно. Целостность первых обеспечивается моделью Кларка-Вилсона. Последние содержат информацию, целостность которой в рамках данной модели не контролируется (этим и объясняется выбор терминологии).

Далее, модель вводит два класса операций над элементами данных: процедуры контроля целостности (ПКЦ) и процедуры преобразования (ПП). Первые из них обеспечивают проверку целостности контролируемых элементов данных (КЭД), вторые изменяют состав множества всех КЭД (например, преобразуя элементы НЭД в КЭД).

Наконец, модель содержит девять правил, определяющих взаимоотношения элементов данных и процедур в процессе функционирования системы.

Правило С 1. Множество всех процедур контроля целостности (ПКЦ) должно содержать процедуры контроля целостности любого элемента данных из множества всех КЭД.

Правило С 2. Все процедуры преобразования (ПП) должны быть реализованы корректно в том смысле, что не должны нарушать целостность обрабатываемых ими КЭД. Кроме того, с каждой процедурой преобразования должен быть связан список элементов КЭД, которые допустимо обрабатывать данной процедурой. Такая связь устанавливается администратором безопасности.

Правило Е 1. Система должна контролировать допустимость применения ПП к элементам КЭД в соответствии со списками, указанными в правиле С 2.

Правило Е 2. Система должна поддерживать список разрешенных конкретным пользователям процедур преобразования с указанием допустимого для каждой ПП и данного пользователя набора обрабатываемых элементов КЭД.

Правило С З. Список, определенный правилом С 2, должен отвечать требованию разграничения функциональных обязанностей.

Правило Е З. Система должна аутентифицировать всех пользователей, пытающихся выполнить какую-либо процедуру преобразования.

Правило С 4. Каждая ПП должна записывать в журнал регистрации информацию, достаточную для восстановления полной картины каждого применения этой ПП. Журнал регистрации - это специальный элемент КЭД, предназначенный только для добавления в него информации.

Правило С 5. Любая ПП, которая обрабатывает элемент НЭД, должна выполнять только корректные преобразования этого элемента, в результате которых НЭД превращается в КЭД.

Правило Е 4. Только специально уполномоченное лицо может изменять списки, определенные в правилах С 2 и Е 2. Это лицо не имеет права выполнять какие-либо действия, если оно уполномочено изменять регламентирующие эти действия списки.

3. Особенности обеспечения целостности информации в памяти в компьютерной системе

В компьютерной системе и, в частности в любой ОС, память разделена (по меньшей мере логически) на области, которые используют ее компоненты, а также программы пользователей. При этом необходимо обеспечить защиту областей памяти от вмешательства в них посторонних компонентов, т.е. разграничить доступ приложений к областям памяти, а в многозадачной среде и к областям памяти друг друга. Кроме того, необходимо решить проблему организации совместного доступа различных приложений к некоторым областям памяти. Обычно для этого используется один из трех подходов:

1) совместный доступ полностью исключен, возможно только монопольное использование области памяти;

2) допустимы только строго оговоренные типы доступа к содержимому данной области памяти, например согласно таблице вида :

Таблица 9. Доступ к содержимому данной области памяти

	Чтение	Запись	Исполнение
Приложение 1	Да	Да	Да
Приложение 2	Да	Да	Нет
Приложение 3	Да	Нет	Нет

3) совместный доступ разрешен и ничем не ограничен.

4) совместный доступ может быть организован или к оригиналу области памяти, или предоставлением каждой программе индивидуальной копии области. В последнем случае потребуется осуществлять синхронизацию обновлений области различными приложениями, а в первом - исключение одновременного изменения ее несколькими программами. Следует также учесть, что в совместное пользование могут быть предоставлены не только данные, но и исполняемый код. Таким образом, в задачи АС по предоставлению областей памяти в совместное пользование входят:

организация последовательного, взаимоисключающего доступа нескольких программ к совместно используемым объектам;

ограничение возможностей совместно используемых программ по манипулированию информацией различной ценности. Кратко рассмотрим основные способы защиты памяти

4. Ведение постоянного учёта документации.

Это весьма рутинная работа, но, зачастую только учёт документации способствует тщательному контролю над количеством и наличием документации

5. Регулярная проверка ПК на предмет санкционированных подключений

Несложная процедура, особенно при наличии хорошего антивируса, и навыков работы с ПК. Этот способ иногда оказывается самым эффективным для нахождения несанкционированных подключений к АИС предприятия.

6. Проверка на наличие прослушивающих устройств с помощью специальной аппаратуры.

Изучив данные всемирной паутины, можно сделать вывод о том, что в наши дни не сложно воспользоваться услугами специалиста, либо же приобрести устройства обнаружения самим.

Отрывок из интернет-ресурса :

« … Простые индикаторы магнитного поля (детекторы жучков) используются для обнаружения работающих радиомикрофонов, видеопередатчиков, сотовых телефонов и других радиоизлучающих передающих устройств: например беспроводные сети wi-fi/bt.

Более сложные приборы для обнаружения радиомикрофонов, ST-052, можно использовать стационарно для одновременного контроля наличия прослушивающих устройств на больших территориях: одновременно можно просматривать до 32 помещений.

Если Вам интересно проверить все возможные каналы утечки информации в помещении, то для этого потребуется многофункциональный поисковый прибор Пиранья ST-031 или СPM-700 Акула, который обнаруживает активные радиомикрофоны, утечки по проводным линиям, ИК-каналу, утечки по акустическому и виброакустическому каналу.

Стационарные индикаторы поля (Редут, Вымпел) устанавливаются в помещении и сигнализируют о наличии работающих передающих устройств у посетителей. Это индикаторы поля Редут. Носимые детекторы жучков берут с собой на переговоры для обнаружения работающих передающих устройств. Такие детекторы жучков имеют малые габариты и виброиндикацию.»

7. Физический осмотр помещения

Регулярный осмотр помещения и коммуникаций на предмет наличия закладных прослушивающих устройств, установки видеокамер, несанкционированного подключения к коммуникационным узлам.

З. Меры для повышения уровня защищённости информационной системы

3.1 Организационные меры по защите информации

1. Разработка и утверждение служебных обязанностей должностных лиц, связанных с обработкой информации

А) создание и оформление форм допуска для персонала

Б) консультирование персонала по вопросам ответственности, которую он несёт в случае заведомо неправильной либо запрещённой работой со служебной информацией

2. Внесение вопросов ИБ в организационно-распорядительные документы, в частности в инструкции для пользователей АИС

3. Оформление юридически значимых документов по вопросам регламентации отношений пользователя АИС по ведению информационных процессов

4. Создание инженерно-технических основ ЗИ на предприятии

5. Распоряжение об ужесточении пропускного режима, путём установки турникетов и создания пропускного режима

6. Распоряжении об установке «тревожной кнопки» во всех помещениях бухгалтерского отдела ЗАО «Абсолют»

7. Распоряжение об установке видеокамер в помещении с возможностью контроля отображаемого на специальном мониторе видео непосредственно самим руководителем предприятия.

8. Заключение договора с подразделением вневедомственной охраны «о физической охране объекта»

3.2 Моделирование управления доступом к служебной информации. Матрица полномочного и избирательного доступа

Права доступа (к информации) -- совокупность правил, регламентирующих порядок и условия доступа субъекта к информации и её носителям, установленных правовыми документами или собственником, владельцем информации.

Права доступа определяют набор действий (например, чтение, запись, выполнение), разрешённых для выполнения субъектам (например, пользователям системы) над объектами данных. Понятно, что требуется некая система для предоставления субъектам различных прав доступа к объектам. Это система разграничения доступа субъектов к объектам, которая рассматривается в качестве главного средства защиты от несанкционированного доступа к информации по руководящему документу «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации».

Избирательное управление доступом (англ. Discretionary access control, DAC) -- управление доступом субъектов к объектам на основе списков управления доступом или матрицы доступа. Столбцы этой матрицы представляют собой объекты, строки -- субъекты. В каждой ячейке матрицы хранится совокупность прав доступа, предоставленных данному субъекту на данный объект.

Привилегированный пользователь не может игнорировать разграничение доступа к объектам. Например, в Windows NT администратор для обращения к чужому объекту (принадлежащему другому субъекту) должен сначала объявить себя владельцем этого объекта, использовав привилегию администратора объявлять себя владельцем любого объекта, затем дать себе необходимые права и только после этого может обратиться к объекту. Последнее требование введено для реализации механизма удаления потенциально недоступных объектов.

При создании объекта его владельцем назначается субъект, создавший данный объект. В дальнейшем субъект, обладающий необходимыми правами, может назначить объекту нового владельца. При этом субъект, изменяющий владельца объекта, может назначить новым владельцем объекта только себя. Такое ограничение вводится для того, чтобы владелец объекта не мог отдать «владение» объектом другому субъекту и тем самым снять с себя ответственность за некорректные действия с объектом.

Для определения прав доступа субъектов к объектам при избирательном разграничении доступа используются такие понятия, как матрица доступа и домен безопасности.

С концептуальной точки зрения текущее состояние прав доступа при избирательном разграничении доступа описывается матрицей, в строках которой перечислены субъекты доступа, в столбцах -- объекты доступа, а в ячейках -- операции, которые субъект может выполнить над объектом.

Домен безопасности (protection domain) определяет набор объектов и типов операций, которые могут производиться над каждым объектом ОС.

Возможность выполнять операции над объектом есть право доступа, каждое из которых есть упорядоченная пара <objeci-name, rights-sel>. Таким образом, домен есть набор прав доступа. Например, если домен D имеет право доступа <file F, (read, write)>, это означает, что процесс, выполняемый в домене D, может читать или писать в файл F, но не может выполнять других операций над этим объектом (см. рисунок).

Связь конкретных субъектов, функционирующих в ОС, может быть организована следующим образом:

* каждый пользователь может быть доменом. В этом случае набор объектов, к которым может быть организован доступ, зависит от идентификации пользователя;

* каждый процесс может быть доменом. В этом случае набор доступных объектов определяется идентификацией процесса;

* каждая процедура может быть доменом. В этом случае набор доступных объектов соответствует локальным переменным, определенным внутри процедуры. Заметим, что, когда процедура выполнена, происходит смена домена.

Модель безопасности, специфицированная выше (см. рис.), имеет вид матрицы и называется матрицей доступа. Столбцы этой матрицы представляют собой объекты, строки -- субъекты. В каждой ячейке матрицы хранится совокупность прав доступа, предоставленных данному субъекту на данный объект.

Матрицу доступа можно разложить по столбцам, в результате чего получаются списки прав доступа ACL (access control list). В результате разложения матрицы по строкам получаются мандаты возможностей (capability list, или capability tickets).

Список прав доступа ACL. Каждая колонка в матрице может быть реализована как список доступа для одного объекта. Очевидно, что пустые клетки могут не учитываться. В результате для каждого объекта имеем список упорядоченных пар <domain, rights-set>, который определяет все домены с непустыми наборами прав для данного объекта.

Элементами списка прав доступа ACL могут быть процессы, пользователи или группы пользователей. При реализации широко применяется предоставление доступа по умолчанию для пользователей, права которых не указаны. Например, в ОС Unix все субъекты-пользователи разделены на три группы (владелец, группа и остальные), и для членов каждой группы контролируются операции чтения, записи и исполнения (rwx). В итоге имеем ACL -- 9-битный код, который является атрибутом разнообразных объектов Unix.

Мандаты возможностей. Как отмечалось выше, если матрицу доступа хранить по строкам, т. е. если каждый субъект хранит список объектов и для каждого объекта -- список допустимых операций, то такой способ хранения называется «мандаты возможностей» или «перечни возможностей» (capability list). Каждый пользователь обладает несколькими мандатами и может иметь право передавать их другим. Мандаты могут быть рассеяны по системе и вследствие этого представлять большую угрозу для безопасности, чем списки контроля доступа. Их хранение должно быть тщательно продумано.

Избирательное разграничение доступа -- наиболее распространенный способ разграничения доступа. Это обусловлено сравнительной простотой его реализации и необременительностью правил такого разграничения доступа для пользователей. Главное достоинство избирательного разграничения доступа -- гибкость; основные недостатки -- рассредоточенность управления и сложность централизованного контроля.

Избирательное управление доступом является основной реализацией разграничительной политики доступа к ресурсам при обработке конфиденциальных сведений, согласно требованиям к системе защиты информации.

Таблица 10. Матрица избирательного доступа

объект субъект	Информация в компьютерных профилях	Сейф с материальными ценностями	Сейф с документами
	Общий	Директор	Бухгалтер
Директор	Read, Write	Read, Write	Read, Write	use	use
Главный бухгалтер	Read, Write				use
Заместитель главного бухгалтера	Read, Write		Read, Write	use
Бухгалтера 2 человека	Read, Write

Информация в компьютерных профилях:

Общий: данные о проектах, проводимой работе, рекламных разработках, техническая информация.

Профиль директора: ноу-хау фирмы, коммерческая информация, счета фирмы, коммерческая тайна, договора с сторонними фирмами.

Профиль бухгалтера: финансовые счета, личные данные счетов клиента, информация о зарплатах.

Полномочный принцип доступа состоит в реализации определенного подхода к назначению прав доступа субъектов (пользователей) к объектам (защищаемым ресурсам). Основу данного подхода составляет введение иерархии (реализованной на каких-либо принципах) объектов и субъектов доступа и полномочий на право доступа в рамках составленной иерархии. Наиболее типичным решением является введение иерархии объектов доступа на основании уровня конфиденциальности хранящихся в них документов и иерархии субъектов доступа на основании их служебных обязанностей и формализованного права («формы») допуска к конфиденциальным данным (например, третья, вторая и др. формы допуска). Введенная иерархия субъектов и объектов доступа позволяет ввести полномочия (формализовать права) доступа к ресурсам, например, пользователь с третьей формой допуска может обладать доступом к открытым и конфиденциальным данным, со второй формой в дополнение - к секретным данным и т.д.

Полномочное управление доступом

Полномочное управление доступом (англ. Mandatory access control, MAC) -- разграничение доступа субъектов к объектам, основанное на назначении метки конфиденциальности для информации, содержащейся в объектах, и выдаче официальных разрешений (допуска) субъектам на обращение к информации такого уровня конфиденциальности. Это способ, сочетающий защиту и ограничение прав, применяемый по отношению к компьютерным процессам, данным и системным устройствам и предназначенный для предотвращения их нежелательного использования.

Для реализации этого принципа каждому субъекту и каждому объекту должны сопоставляться классификационные метки, отражающие место данного субъекта (объекта) в соответствующей иерархии. Посредством этих меток субъектам и объектам должны назначаться классификационные уровни (уровни уязвимости, категории секретности и т. п.), являющиеся комбинациями иерархических и неиерархических категорий. Данные метки должны служить основой мандатного принципа разграничения доступа.

КСЗ при вводе новых данных в систему должен запрашивать и получать от санкционированного пользователя классификационные метки этих данных. При санкционированном занесении в список пользователей нового субъекта должно осуществляться сопоставление ему классификационных меток. Внешние классификационные метки (субъектов, объектов) должны точно соответствовать внутренним меткам (внутри КСЗ).

КСЗ должен реализовывать мандатный принцип контроля доступа применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов:

субъект может читать объект, только если иерархическая классификация в классификационном уровне субъекта не меньше, чем иерархическая классификация в классификационном уровне объекта, и неиерархические категории в классификационном уровне субъекта включают в себя все иерархические категории в классификационном уровне объекта;

субъект осуществляет запись в объект, только если классификационный уровень субъекта в иерархической классификации не больше, чем классификационный уровень объекта в иерархической классификации, и все иерархические категории в классификационном уровне субъекта включаются в неиерархические категории в классификационном уровне объекта.

Реализация мандатных ПРД должна предусматривать возможности сопровождения: изменения классификационных уровней субъектов и объектов специально выделенными субъектами.

В СВТ должен быть реализован диспетчер доступа, то есть средство, осуществляющее перехват всех обращений субъектов к объектам, а также разграничение доступа в соответствии с заданным принципом разграничения доступа. При этом решение о санкционированности запроса на доступ должно приниматься только при одновременном разрешении его и дискреционными, и мандатными ПРД. Таким образом, должен контролироваться не только единичный акт доступа, но и потоки информации.

Таблица 11. Категории (метки безопасности) и уровни доступа.

Объект	Метка безопасности	Субъект, имеющий доступ	Ур. доступа
Профиль директора	Категория 1	Директор, главный бухгалтер	1
Профиль главного бухгалтера	Категория 2	Директор, главный бухгалтер	2
Профиль заместителя главного бухгалтера	Категория 3	Директор, заместитель главного бухгалтера	2
Сейф с материальными ценностями	Категория 3	Директор, заместитель главного бухгалтера
Сейф с документами	Категория 1	Директор, главный бухгалтер , заместитель главного бухгалтера
Бухгалтера, 2 человека	Категория 2	Директор, главный бухгалтер, бухгалтера	3

К категориям следует относить следующие документы:

Категория 1- персональные данные

Категория 2- общие документы

Категория 3- финансовые документы

Уровни доступа:

Уровень 1: категории 1,2,3 самый высокий

Уровень 2: категории 2,3 средний

Уровень 3: категория 2 обычный

Таблица 12. Уровни доступа

Объект	Доступ
Профиль директора	Директор:1,2,главбух: 1,2
Профиль главного бухгалтера	Директор: 1,2 главбух: 1,2
Профиль заместителя главного бухгалтера	Директор: 1,3 заместитель главного бухгалтера: 1,3
Бухгалтера, 2 человека	Бухгалтера: 2. Директор:2. Главный бухгалтер.:2.

Приоритет доступа:

1 -- Личная информация о клиентах

2 -- Общая информация

3 -- Финансовая информация

Таблица 13.Приоритет доступа

объект субъект	Информация в компьютерных профилях	Сейф с материальными ценностями	Сейф с документами
	Общий	Директор	Бухгалтер
Директор	1,2,3	1,2,3	1,2,3	use	use
Главный бухгалтер	1,2,3	1,2			use
Заместитель главного бухгалтера	1,3		1,2,3	use
Бухгалтера	2

Приоритет доступа:

1 -- Личная информация о клиентах

2 -- Общая информация

3 -- Финансовая информация

3.3 Совершенствование технических мер защиты информации

В дополнение к уже существующим мерам защиты мы предлагаем дополнительные меры с целью повышения уровня информационной безопасности.

Таблица 14. Предложенные дополнительные ТСЗИ

Дополнительные ТСЗИ	Места действия, установки
Дверные замки с вводом электронного кода и системой контроля доступа	Все двери, кроме двери сан. Узла и аварийного выхода
Детекторы движения с сигнализацией	Все помещения
Устройство обнаружения прослушивающих устройств типа БагХантер Профессионал BH-1 и выше	Все помещения
Устройство обнаружения скрытых видеокамер типа "BugHunter dVideo" и выше	Все помещения
Датчики несанкционированного проникновения с сигнализацией	Все двери, кроме двери сан. узла

4. Повторная проверка уровня защищённости от информационных угроз объекта

4.1 Действия при проверке объектов

Таблица 15. Конкретная проверка каждого объекта

Объект, подвергаемый аудиту	Действия при проверке, методы проверки
Железные двери	3. Физический осмотр объекта 4. проверка наличия усиленных замков по средствам просмотра заводской документации на двери и (или) замки
Решётки на окнах	3. Физический осмотр 4. проверка прочности путём оказания сильного давления (на усмотрение проверяющего)
Камеры наблюдения	4. Физический осмотр 5. оценка качества полученной видеозаписи 6. Проверка качества записи при выключенном освещении
Сейфы	4. Физический осмотр 5. проверка замков путём физического осмотра 6. составление списка лиц , обладающих ключами от того или иного сейфа
Тревожные кнопки	4 Проверка на возможность несанкционированного отключения путём осмотра конструкции и проводов
Рабочие компьютеры	5. Проверка работы антивируса путём намеренного запуска в систему заражённого файла 6. проверка сетей на возможность несанкционированного подключения, проверка обновления вирусных баз 7. Проверка системы на наличие паролей

4.2 Список контрольных вопросов для определения уровня ИБ

Список вопросов, по состоянию безопасности конкретных объектов

Таблица 16. Контрольные вопросы

Вопросы, касающиеся безопасности объёкта	Количество баллов за положительный ответ, иначе ноль
Установлена ли железная дверь на входе?	4
Установлены ли решётки на окнах?	3
Осуществляется ли на предприятии пропускной режим?	2
Установлена ли в офисе предприятия система тревожных кнопок?	3
Установлены ли на дверях противовзломные усиленные замки?	2
Установлена ли на окнах противовзломная фурнитура?	2
Осуществляется ли на объекте видеонаблюдение?	3
Установлены ли в комнатах офиса сейфы для хранения данных?	2
Существуют ли на предприятии те или иные формы систем учёта и контроля доступа?	2
Установлены ли антивирусные программы на компьютеры предприятия?	4
Включён ли на компьютерах предприятия Брандмауэр Windows&	2
Ведётся ли физическая охрана объекта?	2
Ведётся ли на территории офиса компьютерный, или иной учёт гостей и посетителей?	3
Проводятся ли в офисе предприятия регулярные учёты документов, оборудования и т.д.?	3

4.3 Система оценок

Система оценок информационной защищённости предприятия

Таблица 17. Система оценок

Баллы	Оценка уровня защищённости	Вывод
33-37	высшая	Предприятие полностью защищено
28-33	средняя	Предприятие может функционировать, необходимо исправить недочеты в защите
Менее 28	низкая	Не рекомендуется дальнейшая работа предприятия, минимум до достижения среднего уровня защищённости

Заключение

Итак, в нашей работе мы рассмотрели бухгалтерский отдел ЗАО «Абсолют».

Мы провели описание и оценку уровня защиты от информационных угроз данного предприятия, а также предложили дополнительные технические меры для повышения информационной защищённости объекта.

В дополнение к проделанной работе мы создали систему оценок уровня информационной защищённости предприятия, по которой можно определить, готово ли предприятие к безопасной работе, или же его защиту ещё надо модернизировать.

Список литературы:

1. интернет-ресурс http://orgpraktik.narod.ru

2 . интернет-ресурс http://ru.wikipedia.org

3. СТБ П ИСО/МЭК 17799-2000/2004 Информационные технологии и безопасность. Правила управления информационной безопасностью.

4. Петренко С.А., Симонов С.В. Управление информационными рисками. Экономически оправданная безопасность. - М.: «КомпанияАйТи», «ДМИ Пресс», 2004 г.

5. Степанов Е.А., Корнеев И.К. Информационная безопасность и защита информации, учебное пособие, Москва 2001.

6.Гамза В.А., Ткачук И.Б. Безопасность коммерческого банка;

7. Ярочкин В. Система безопасности фирмы;

8. Вус М.А., Морозов В.П. Информационно-коммерческая безопасность защита коммерческой тайны. - Санкт-Петербург, 1993;

9. Староверов Д. Защита информации.

10. интернет-ресурс Wikipedia

Размещено на Allbest.ru