3

ДИПЛОМНАЯ РОБОТА

Разработка эффективных систем защиты информации в автоматизированных системах

Содержание

РЕФЕРАТ

ПЕРЕЧЕНЬ СОКРАЩЕНИЙ

ВВЕДЕНИЕ

1. АНАЛИЗ НОРМАТИВНО-ПРАВОВОЙ БАЗЫ ОБЕСПЕЧЕНИЯ КОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ

1.1 Общие понятия и определения в области проектирования защищенных автоматизированных систем

1.2 Классификация автоматизированных систем

1.2.1 Особенности АС класса 1

1.2.2 Особенности АС класса 2 и 3

1.2.3 Системы информационной безопасности

1.3 Порядок создания комплексной системы защиты информации

1.3.1 Анализ структуры автоматизированной информационной системы

1.3.2 Определение технического решения

1.3.3 Реализация и эксплуатация КСЗИ

Выводы по разделу 1

2. ОБОСНОВАНИЕ НАПРАВЛЕНИЙ СОЗДАНИЯ КОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ

2.1 Оценка необходимости защиты информации от НСД

2.2 Требования к защите информации от НСД в АС

2.2.1 Требования к защите конфиденциальной информации

2.2.2 Требования к защите секретной информации

2.3 Основные принципы защитных мероприятий от НСД в АС

2.4 Математический анализ эффективности защитных мероприятий

Выводы по разделу 2

3. РАЗРАБОТКА МЕТОДИКИ ОЦЕНКИ ЭФФЕКТИВНОСТИ ЗАЩИТНЫХ МЕРОПРИЯТИЙ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ

3.1 Общие принципы оценки эффективности защитных мероприятий

3.2 Подход к оценке эффективности защитных мероприятий

Выводы по разделу 3

4. ВЫБОР ПУТЕЙ ПОВЫШЕНИЯ ЭФФЕКТИВНОСТИ ЗАЩИТНЫХ МЕРОПРИЯТИЙ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ

4.1 Выбор контролируемых параметров по максимальным значениям (с учетом защиты канала)

4.2 Выбор контролируемых параметров по заданному коэффициенту готовности

4.3 Выбор контролируемых параметров по максимальному значению вероятности безотказной работы после проведения диагностики

4.4 Оценка оптимального времени между проведением функциональных проверок информационного канала

Выводы по разделу 4

5. РАЗРАБОТКА РЕКОМЕНДАЦИЙ ПО ИСПОЛЬЗОВАНИЮ УСТРОЙСТВ, МЕТОДОВ И МЕРОПРИЯТИЙ ПО ЗАЩИТЕ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ

5.1 Организационные мероприятия

5.1.1 Рекомендации по категорированию информации в информационной системе предприятия

5.1.2 Рекомендации по категорированию пользователей информационной системы предприятия

5.2 Инженерно-технические мероприятия

5.2.1 Рекомендации по устранению несанкционированного использования диктофона

5.2.2 Рекомендации по защите информации постановкой помех

5.3 Рекомендации по защите информации, обрабатываемой в автоматизированных системах

Выводы по разделу 5

ОХРАНА ТРУДА

Методы защиты от электромагнитных полей

Электробезопасность

ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ

ВЫВОДЫ И РЕКОМЕНДАЦИИ

СПИСОК ИСТОЧНИКОВ

ПРИЛОЖЕНИЕ А. Основные инструкции и правила для пользователей и обслуживающего персонала

А.1 Инструкция пользователя по соблюдению режима информационной безопасности

А.1.1 Общие требования

А.1.2 Работа в автоматизированной информационной системе

А.2 Инструкция по безопасному уничтожению информации и оборудования

А.3 Правила парольной защиты

А.4 Правила защиты от вредоносного программного обеспечения

А.5 Правила осуществления удаленного доступа

А.6 Правила осуществления локального доступа

ПРИЛОЖЕНИЕ Б. Рекомендуемые современные средства поиска от утечки и защиты информации в помещениях

Комплекс контроля радиоэлектронной обстановки и выявления средств несанкционированного съема информации ТОР

Анализатор проводных коммуникаций LBD-50

Комплекс виброакустической защиты объектов информатизации 1-й категории БАРОН

Телефонный модуль для комплексной защиты телефонной линии от прослушивания ПРОКРУСТ-2000

Система защиты информации Secret Net 4.0

РЕФЕРАТ

Пояснювальна записка до випускної кваліфікаційної роботи спеціаліста «Розробка ефективних систем захисту інформації в автоматизованих системах» складається з 117 стор., містить 11 малюнків, 7 таблиць, перелік посилань з 43 найменувань.

Об'єкт дослідження - комплексна система захисту інформації в автоматизованих системах.

Метод дослідження - системний аналіз методів та засобів захисту інформації від витоку.

В результаті виконання ВКР спеціаліста проаналізовано: нормативно-правову базу та сучасні підходи в галузі проектування комплексних систем захисту інформації, запропоновано підхід щодо оцінки ефективності проведення захисних заходів в автоматизованих системах, проведений математичний аналіз ефективності захисних заходів, запропоновані шляхи щодо покращення захисних заходів від НСД в автоматизованих системах. Розроблені рекомендації щодо методів організаційного та інженерно-технічного захисту інформації в автоматизованих системах

Результати виконаної ВКР спеціаліста рекомендується використовувати для досліджень, що проводяться студентами в навчальному процесі та для обґрунтування системи захисту інформаційної системи на підприємстві.

Ключові слова: АВТОМАТИЗОВАНА СИСТЕМА, ІНФОРМАЦІЙНА БЕЗПЕКА, КОМПЛЕКСНА СИСТЕМА.

ABSTRACT

Explanatory message to final qualifying work of specialist «Development of the effective systems of priv in CASS» consists of 117 р., contains 11 pictures, 7 tables, list of references from 43 names.

A research object is the complex system of priv in CASS.

A research method is an analysis of the systems of methods and facilities of priv from a source.

As a result of implementation of final qualifying work of specialist is analyzed: normatively legal base and modern approaches in industry of planning of the complex systems of priv, offered approach in relation to the estimation of efficiency of lead through of protective measures in CASS, the mathematical analysis of efficiency of protective measures is conducted, offered ways in relation to the improvement of protective measures from NSD in CASS. The developed recommendations are in relation to the methods of organizational and technical priv in CASS

The results of executed final qualifying work of specialist it is recommended to draw on for researches which are conducted students in an educational process and for the ground of the system of defense of the informative system on an enterprise.

Keywords: CAS, INFORMATIVE SAFETY, COMPLEX SYSTEM.

ПЕРЕЧЕНЬ СОКРАЩЕНИЙ

АИС (АС) - Автоматизированная информационная система

ВТСС - Вспомогательные технические средства и системы

ГСССЗИ - Государственная служба специальной связи и защиты информации

ЗМ - Защитные мероприятия

ЗП - Защищаемое помещение

ИТС - Информационно-телекоммуникационная система

КЗ - Контролируемая зона

КСЗИ - Комплексная система защиты информации

НСД - Несанкционированный доступ

ОТСС - Основные технические средства и системы

СВТ - Средства вычислительной техники

СИБ - Системы информационной безопасности

СЗИ - Системы защиты информации

ТЗ - Техническое задание

ТРП - Техническо-рабочий проект

ЭВМ - Электронно0вычислительная машина

ВВЕДЕНИЕ

Информационная безопасность - сравнительно молодая, быстро развивающаяся область информационных технологий. Словосочетание информационная безопасность в разных контекстах может иметь различный смысл. Состояние защищенности национальных интересов в информационной сфере определяется совокупностью сбалансированных интересов личности, общества и государства.

Под информационной безопасностью понимают защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Вместе с тем, защита информации - это комплекс мероприятий направленных на обеспечение информационной безопасности.

С методологической точки зрения правильный подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем. Угрозы информационной безопасности - это оборотная сторона использования информационных технологий.

Говоря о системах безопасности, нужно отметить, что они должны не только и не столько ограничивать допуск пользователей к информационным ресурсам, сколько определять и делегировать их полномочия в совместном решении задач, выявлять аномальное использование ресурсов, прогнозировать аварийные ситуации и устранять их последствия, гибко адаптируя структуру в условиях отказов, частичной потери или длительного блокирования ресурсов.

Не стоит, однако, забывать об экономической целесообразности применения тех или иных мер обеспечения безопасности информации, которые всегда должны быть адекватны существующим угрозам.

Параллельно с развитием средств вычислительной техники и появлением все новых способов нарушения безопасности информации развивались и совершенствовались средства защиты. Необходимо отметить, что более старые виды атак никуда не исчезают, а новые только ухудшают ситуацию. Существующие сегодня подходы к обеспечению защиты информации несколько отличаются от существовавших на начальном этапе. Главное отличие современных концепций в том, что сегодня не говорят о каком-то одном универсальном средстве защиты, а речь идет о КСЗИ, включающей в себя:

- нормативно-правовой базис защиты информации;

- средства, способы и методы защиты;

- органы и исполнителей.

Другими словами, на практике защита информации представляет собой комплекс регулярно используемых средств и методов, принимаемых мер и осуществляемых мероприятий с целью систематического обеспечения требуемой надежности информации, генерируемой, хранящейся и обрабатываемой на объекте АС, а также передаваемой по каналам. Защита должна носить системный характер, то есть для получения наилучших результатов все разрозненные виды защиты информации должны быть объединены в одно целое и функционировать в составе единой системы, представляющей собой слаженный механизм взаимодействующих элементов, предназначенных для выполнения задач по обеспечению безопасности информации.

Более того, КСЗИ предназначена обеспечивать, с одной стороны, функционирование надежных механизмов защиты, а с другой - управление механизмами защиты информации. В связи с этим должна предусматриваться организация четкой и отлаженной системы управления защитой информации.

Приведенные факты делают проблему проектирования эффективных систем защиты информации актуальной на сегодняшний день.

В данной работе рассмотрены основные принципы создания КСЗИ для АИС.

Целью работы является «Исследование современных систем защиты информации в АС».

Для достижения поставленной цели, в ходе выполнения работы решались следующие задачи:

анализ нормативно-правовой базы обеспечения защиты информации в АС, а также проектирования защищенных АС;

исследование степени защищенности современных АС с последующей оценкой эффективности ее защитных мероприятий;

выбор путей повышения эффективности защитных мероприятий в АС;

разработка рекомендаций по использованию защитных мероприятий в АС.

Таким образом, объектом исследования является защищенная АС, а предметом - используемые защитные мероприятия.

Наряду с существующими нормативно-правовыми документами [1-5,7-8,10-14] теоретическую базу исследований составляют труды известных ученых в области защиты информации от утечки по техническим каналам: В.В. Домарева [21], А.А. Хорева [38-40] и др.

Практические результаты основываются на исследовании эффективности организационных и инженерно-технических мероприятий по защите информации в АС.

Квалификационная работа специалиста состоит из введения, пяти разделов, заключения, списка использованной литературы и приложений.

В первом разделе проводиться анализ современной нормативно-правовой базы в области защиты информации, а также проектирования защищенных АС. Также был проанализирован современный метод построения КСЗИ, в соответствии с нормативными документами технической защиты информации Украины.

Во втором разделе были проанализированы основные принципы защитных мероприятий в АС для дальнейшего повышения их эффективности. В основе данного анализа была проведена оценка необходимости защиты информации от НСД, на основании которой были определены требования по защите информации от НСД. На основании таких требований и формируются защитные мероприятия для конкретных АС, а проведенный математический анализ эффективности таких мероприятий позволяет улучшать качество и надежность системы защиты.

В третьем разделе были рассмотрены общие принципы их оценки эффективности. На основании этого была предложена методика оценки эффективности защитных мероприятий, использование которой предполагает лишь наличие данных о необходимых требованиях защищённости и данных о полноте выполнения этих требований.

В четвертом разделе предложены возможные пути оптимизации защитных мероприятий в АС. В качестве такой оптимизации рассматривается выбор контролируемых параметров по различных показателям эффективности.

Пятый раздел содержит разработанные рекомендации по улучшению организационных и инженерно-технических мероприятий по защите информации в АС.

В заключении приведены основные результаты исследований.

Список использованной литературы содержит 41 наименование.

В приложении содержатся материалы иллюстративного характера, фотографии и технические характеристики некоторых защитных устройств, а также приведен ряд инструкций и правил для пользователей и обслуживающего персонала.

1 АНАЛИЗ НОРМАТИВНО-ПРАВОВОЙ БАЗЫ ОБЕЧПЕЧЕНИЯ КОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ

Бурный рост конфиденциальной и коммерческой информации, а также существенное увеличение фактов ее хищения вызывает повышенный интерес все большего числа организаций к созданию собственных защищенных информационных систем.

Проектирование защищенных информационных систем процесс довольно сложный, который предполагает наличие соответствующих знаний и опыта, у ее создателей.

Потребитель может не вникать в разработку такого проекта и подробности его развития, однако он обязан контролировать каждый его этап на предмет соответствия техническому заданию и требованиям нормативных документов. В свою очередь, персональный опыт проектировщиков требует использования существующих нормативных документов в данной области для получения наиболее качественного результата.

Таким образом, процесс проектирования защищенных информационных систем должен основываться на знании и строгом выполнении требований существующих нормативных документов, как со стороны ее разработчиков, так и со стороны заказчиков.

1.1 Общие понятия и определения в области проектирования защищенных автоматизированных систем

Существующая в Украине нормативная база еще не достигла необходимого развития в данной области. Так, например, из огромного списка стандартов и нормативных документов Украины можно выделить лишь некоторые, которые могут быть использованы при проектировании защищенных АС [2-5].

Поэтому, при проведении данного рода работ, специалисты используют также международные (ISO) и межгосударственные (ГОСТы, утвержденные до 1992 года, включительно) стандарты [6].

Согласно одному из таких стандартов [7] АС представляет собой систему, состоящую из персонала и комплекса средств автоматизации его деятельности, реализующую информационную технологию выполнения установленных функций.

В зависимости от вида деятельности выделяют следующие виды АС: автоматизированные системы управления (АСУ), системы автоматизированного проектирования (САПР), автоматизированные системы научных исследований (АСНИ) и др.

В зависимости от вида управляемого объекта (процесса) АСУ делят на АСУ технологическими процессами (АСУТП), АСУ предприятиями (АСУП) и т.д.

В нашем случае АС представляет собой среду обработки информации, и также информационных ресурсов в информационно-телекоммуникационной системе. Поэтому в дальнейшем будем использовать понятие автоматизированная информационная система.

Закон Украины «Об информации» [1] трактует понятие «информация» в следующем виде: «под информацией понимается документируемые или публично объявленные сведения о событиях и явлениях, которые происходят в обществе, государстве и окружающей среде».

В свою очередь, защита информации в АС - деятельность, которая направлена на обеспечение безопасности обрабатываемой в АС информации и АС в целом, и позволяет предотвратить или осложнить возможность реализации угроз, а также снизить величину потенциальных убытков в результате реализации угроз [2].

Таким образом, АИС представляет собой сложную систему, которую целесообразно разделять на отдельные блоки (модули) для облегчения ее дальнейшего проектирования. В результате этого, каждый модуль будет независим от остальных, а в комплексе они будут составлять цельную систему защиты.

Выделение отдельных модулей АИС позволяет службе защиты информации:

- своевременно и адекватно реагировать на определенные виды угроз информации, которые свойственны определенному модулю;

- в короткие сроки внедрять систему защиты информации в модулях, которые только что появились;

- упростить процедуру контроля системы защиты информации в целом (под системой защиты информационной инфраструктуры предприятия в целом следует понимать совокупность модулей систем защиты информации).

Постепенно наращивая количество модулей, а также усложняя структуру защиты, АИС приобретает некую комплексность, которая подразумевает использование не одного типа защитных функций во всех модулях, а их произведение.

Таким образом, построение КСЗИ становится неотъемлемым фактором в разработке эффективной системы защиты от несанкционированного доступа.

Согласно [8] КСЗИ - совокупность организационных и инженерных мероприятий, программно-аппаратных средств, которые обеспечивают защиту информации в АС.

Отсюда видно, что, например, простым экранированием помещения при проектировании КСЗИ не обойтись, так как данный метод предполагает лишь защиту информации от утечки по радиоканалу.

В общем случае понятие «комплексность» представляет собой решение в рамках единой концепции двух или более разноплановых задач (целевая комплексность), или использование для решения одной и той же задачи разноплановых инструментальных средств (инструментальная комплексность), или то и другое (всеобщая комплексность).

Целевая комплексность означает, что система информационной безопасности должна строиться следующим образом:

- защита информации, информационных ресурсов и систем личности, общества и государства от внешних и внутренних угроз;

- защита личности, общества и государства от негативного информационного воздействия.

Инструментальная комплексность подразумевает интеграцию всех видов и направлений ИБ для достижения поставленных целей.

Современная система защиты информации должна включать структурную, функциональную и временную комплексность.

Структурная комплексность предполагает обеспечение требуемого уровня защиты во всех элементах системы обработки информации.

Функциональная комплексность означает, что методы защиты должны быть направлены на все выполняемые функции системы обработки информации.

Временная комплексность предполагает непрерывность осуществления мероприятий по защите информации, как в процессе непосредственной ее обработки, так и на всех этапах жизненного цикла объекта обработки информации.

1.2 Классификация автоматизированных систем

Нормативным документом [4] предполагается деление АС на 3 класса:

Класс 1 -- одномашинный однопользовательский комплекс, который обрабатывает информацию одной или нескольких категорий конфиденциальности. Пример -- автономная персональная ЭВМ, доступ к которой контролируется с использованием организационных мероприятий.

Класс 2 -- локализированный многомашинный многопользовательский комплекс, обрабатывающий информацию разных категорий конфиденциальности. Пример -- локальная вычислительная сеть.

Класс 3 - распределенный многомашинный многопользовательский комплекс, который обрабатывает информацию разных категорий конфиденциальности. Пример -- глобальная вычислительная сеть.

1.2.1 Особенности АС класса 1

Информация с ограниченным доступом, а именно: конфиденциальная информация, принадлежащая государству, и информация, содержащая государственную тайну, создается, обрабатывается и хранится в режимно-секретном (РСО) органе. Такая информация, в большинстве случаев, обрабатывается с использованием АС класса 1,которые имеют следующие особенности:

- в каждый момент времени с комплексом может работать только один пользователь, хотя в общем случае лиц, которые имеют доступ к комплексу, может быть несколько, но все должны иметь одинаковые полномочия (права) относительно доступа к обрабатываемой информации;

- технические средства (носители информации и средства ввода / вывода), с точки зрения, защищенности относятся к одной категории и все они могут использоваться для хранения и/ или ввода/ вывода всей информации.

Для проведения работ, связанных с построением КСЗИ РСО, специалистам организации исполнителя должен быть оформлен допуск к государственной тайне.

При создании КСЗИ РСО используются только те технические средства защиты информации, которые имеют экспертное заключение или сертификат соответствия государственной службы специальной связи и защиты информации (ГСССЗИ) Украины, применение других технических средств защиты информации запрещено.

Методика проведения работ по построению КСЗИ АС класса 1базируется на следующих исходных данных:

- Объект защиты -- рабочая станция.

- Защита информации от утечки по техническим каналам осуществляется за счет использования рабочей станции в защищенном исполнении или специальных средств.

- Защита от несанкционированного доступа к информации осуществляется специальными программными или аппаратно-программными средствами защиты от несанкционированного доступа.

- Защита компьютера от вирусов, троянских и шпионских программ -- антивирусное программное обеспечение.

1.2.2 Особенности АС класса 2 и 3

В основном в АС класса 2 и класса 3 обрабатывается конфиденциальная или открытая информация, которая принадлежит государству и к которой выдвигаются требования по обеспечению целостности и доступности.

Особенности АС класса 2: наличие пользователей с разными полномочиями по доступу и/или технических средств, которые могут одновременно осуществлять обработку информации разных категорий конфиденциальности.

Особенности АС класса 3: необходимость передачи информации через незащищенную среду или, в общем случае, наличие узлов, которые реализуют разную политику безопасности.

АС класса 3 отличается от АС класса 2 наличием канала доступа в Интернет.

Так же, как и для создания КСЗИ РСО, для создания КСЗИ АС класса 2 и класса 3 организация-исполнитель должна иметь лицензию на проведение работ в сфере технической защиты информации, а также использовать сертифицированные технические средства защиты информации.

Методика проведения работ по построению КСЗИ АС класса 2 (3) базируется на следующих исходных данных:

- Объектами защиты являются рабочие станции, каналы передачи данных, веб-серверы, периметр информационной системы и т. д.

- Защита от несанкционированного доступа осуществляется с помощью базовых средств операционной системы или с использованием специальных программных, аппаратно-программных средств.

- Защита каналов передачи данных через незащищенную среду -- аппаратные, программные, аппаратно-программные средства шифрования информации.

- Защита периметра -- программные, аппаратные межсетевые экраны, системы обнаружения атак.

- Защита компьютера (сети) от вирусов, троянских и шпионских программ -- антивирусное программное обеспечение.

- Защита электронного документооборота и электронной почты -- использование средств электронной цифровой подписи.

Потребителями КСЗИ АС класса 2 и класса 3 являются органы государственной власти, а также предприятия, деятельность которых связана с обработкой конфиденциальной информации, принадлежащей государству.

1.2.3 Системы информационной безопасности

Выделяют еще один тип АС [9] - системы информационной безопасности (СИБ).

СИБ представляют собой решение, направленное на обеспечение защиты критичной информации организации от разглашения, утечки и несанкционированного доступа. Как и КСЗИ, СИБ объединяет в себе комплекс организационных мероприятий и технических средств защиты информации.

СИБ в основном предназначены для защиты информации в АС класса 2 и класса 3. Однако между КСЗИ и СИБ есть принципиальные отличия.

Первое отличие заключается в том, что при построении СИБ нет необходимости выполнять требования нормативных документов в сфере технической защиты информации, так как основными потребителями СИБ являются коммерческие организации, которые не обрабатывают информацию, принадлежащую государству. Вторым принципиальным отличием является отсутствие контролирующего органа, и, как следствие, спроектированная СИБ не требует проведения государственной экспертизы. Еще одно отличие от КСЗИ -- свободный выбор технических средств, возможное применение любых аппаратных и программных средств защиты информации.

СИБ можно рекомендовать коммерческим организациям, которые заботятся о сохранности своей коммерческой (критичной) информации или собираются принимать меры по обеспечению безопасности своих информационных активов.

Для определения необходимости построения СИБ и направления работ по защите информации, а также для оценки реального состояния информационной безопасности организации необходимо проводить аудит информационной безопасности.

Применительно к КСЗИ РСО и КСЗИ АС класса 2 и класса 3 проведение такого аудита тоже является первым этапом работ. Такие работы называются обследованием информационной инфраструктуры организации.

Важным моментом, который касается эксплуатации как КСЗИ АС класса 2 и класса 3, так и СИБ, является тот факт, что недостаточно просто построить и эксплуатировать эти системы защиты, необходимо постоянно их совершенствовать так же, как совершенствуются способы несанкционированного доступа, методы взлома и хакерские атаки.

Сравнительный анализ всех перечисленных систем защиты информации представлен в таблице 1.

Как мы видим, более жесткие требования выдвинуты к процессу построения КСЗИ и исполнителю этих работ по сравнению с требованиями к построению СИБ.

В дальнейшем, при проектировании системы защиты будем брать за основу АС класса 1 и 2, так как именно эти системы обработки информации представляют наиболее огромный интерес у злоумышленника с точки зрения ее хищения.

Таблица 1.1 - Сравнительный анализ систем защиты информации

Особенности КСЗИ	РСО КСЗИ	АС класса 2 (3)	СИБ
Потребители услуг	Органы государственной власти, коммерческие организации	Органы государственной власти, коммерческие организации	Коммерческие организации
Обрабатываемая информация	Конфиденциальная информация, которая принадлежит государству, или информация, которая содержит государственную тайну	Конфиденциальная информация, которая принадлежит государству (физическому лицу), или открытая информация, которая принадлежит государству	Критическая информация организации (персональная, финансовая, договорная информация, информация о заказчиках)
Субъекты	Заказчик Исполнитель Контролирующий орган	Заказчик Исполнитель Контролирующий орган	Заказчик Исполнитель
Наличие лицензии на проведение работ по построению	Лицензия на проведение работ по технической защите информации	Лицензия на проведение работ по технической защите информации	Не требуется
Проведение государственной экспертизы	Обязательно	Обязательно	Не требуется
Технические средства защиты информации	Только сертифицированные средства защиты информации	Только сертифицированные средства защиты информации	Любые средства защиты информации
Выполнение требований нормативной базы	Обязательно	Обязательно	Не требуется

1.3 Порядок создания комплексной системы защиты информации

Создание КСЗИ в ИТС осуществляется в соответствии с нормативным документом системы технической защиты информации [10] на основании технического задания (далее - ТЗ), разработанного согласно требованиям нормативного документа системы технической защиты информации [5]. Кроме того, при проектировании КСЗИ можно руководствоваться стандартом [11].

В состав КСЗИ входят мероприятия и средства, которые реализуют способы, методы, механизмы защиты информации от:

- утечки техническими каналами, к которым относятся каналы побочных электромагнитных излучений и наводок, акустоэлектрических и других каналов;

- несанкционированных действий и несанкционированного доступа к информации, которые могут осуществляться путем подключения к аппаратуре и линиям связи, маскировки под зарегистрированного пользователя, преодоление мероприятий защиты с целью использования информации или навязывания ошибочной информации, применение закладных устройств или программ, использование компьютерных вирусов и т.п.;

- специального влияния на информацию, которое может осуществляться путем формирования полей и сигналов с целью нарушения целостности информации или разрушения системы защиты.

Для каждой конкретной ИТС состав, структура и требования к КСЗИ определяются свойствами обрабатываемой информации, классом АС и условиями ее эксплуатации.

В общем случае, последовательность и содержание научно-исследовательской разработки КСЗИ можно предварительно разделить на 4 этапа (рис 1.1).

Несмотря на простоту структуры разработки КСЗИ, большинство организаций придерживается именно этого алгоритма. Однако данный алгоритм - это лишь основа проектирования. Каждый представленный этап отражает множество уровней в ходе проектирования, в зависимости от структуры АС требования, предъявляемых к ее системе защиты. Рассмотрим эти этапы подробнее.

3

1.3.1 Анализ структуры автоматизированной информационной системы

Данная стадия разработки включает в себя следующие работы:

- проведение предпроектного обследования;

- разработка аналитического обоснования по созданию КСЗИ;

- разработка технического задания на создание КСЗИ.

В ходе данного этапа проводится анализ рисков. Для проверки способности информационной системы противостоять попыткам несанкционированного доступа и воздействия на информацию иногда целесообразно выполнять тесты на проникновение.

Существует несколько видов обследования [15]:

предпроектное диагностическое обследование, которое выполняется при модернизации или построении СЗИ;

аудит СЗИ на соответствие требованиям внутрикорпоративным стандартам или международным/национальным стандартам. Примером может служить сертификационный аудит системы управления ИБ по ISO 27001;

специальные виды обследования, например, при расследовании компьютерных инцидентов.

Мировой опыт создания систем защиты для различного рода объектов позволяет выделить три основных элемента, присутствующих практически на любом объекте и требующих обеспечения их безопасности [16]:

- люди - персонал и посетители объекта;

- материальные ценности, имущество и оборудование;

- критичная информация - информация с различными грифами секретности.

Каждый из выделенных элементов имеет свои особенности, которые необходимо учесть при определении возможных угроз. По результатам анализа возможных угроз безопасности АС формируются требования к защите. Полная защита АС формируется из частных требований защиты элементов путем объединения функционально однородных требований по обеспечению защиты.

По результатам данного этапа определяются и формируются требования к защите. Полная защита АС формируется из частных требований защиты элементов путем объединения функционально однородных данных по обеспечению защиты. К таким данным относится защищаемая информация на основе документально оформленных перечней защищаемых сведений, угрозы безопасности информации и модель вероятного нарушителя, состав используемых технических средств и связи между ними, состав разработанной организационно-распорядительной документации, класс защищенности АС в защищенном исполнении. Принимаются решения, касающиеся состава технических средств и систем, предполагаемых к использованию в разрабатываемой системе, и мероприятий по обеспечению конфиденциальности информации на этапе проектирования системы.

1.3.2 Определение технического решения

В целом процесс проектирования можно разделить на следующие этапы [15,25]:

- подготовка ТЗ на создание системы защиты информации;

- создание модели СЗИ;

- разработка техническо-рабочего проекта (ТРП) создания СЗИ и архитектуры СЗИ. ТРП по созданию СЗИ включает следующие документы:

1) пояснительную записку, содержащую описание основных технических решений по созданию СЗИ и организационных мероприятий по подготовке СЗИ к эксплуатации;

2) обоснование выбранных компонентов СЗИ и определение мест их размещения. Описание разработанных профилей защиты;

3) спецификацию на комплекс технических средств СЗИ;

4) спецификацию на комплекс программных средств СЗИ;

5) определение настроек и режима функционирования компонентов СЗИ:

- разработка организационно-распорядительных документов системы управления ИБ (политик по обеспечению информационной безопасности, процедур, регламентов и др.);

- разработка рабочего проекта (включая документацию на используемые средства защиты и порядок администрирования, план ввода СЗИ в эксплуатацию и др.), планирование обучения пользователей и обслуживающего персонала информационной системы;

- реализация разрешительной системы допуска и организационно-технических мероприятий по защите информации в КСЗИ.

Проект должен включать в себя разделы, посвященные обеспечению автоматизации деятельности сотрудников организации, информационного обмена по высокоскоростным линиям связи, защиты информации. При необходимости разрабатываются задания и проекты на другие работы, например строительно-монтажные. На основе этого документа будет создаваться КСЗИ, поэтому он должен включать в себя описание всех внедряемых технических средств, их настройки, а также все необходимые организационные решения.

В состав разрабатываемой организационно-технической и эксплуатационной документации входят технический паспорт на КСЗИ, инструкции и руководства для пользователей, администраторов системы, по эксплуатации технических средств, приказы, акты и распоряжения, связанные с проектированием, внедрением, испытаниями и вводом в эксплуатацию системы.

Техническое задание на создание КСЗИ может разрабатываться для ИТС создаваемых впервые, а также во время модернизации уже существующих ИТС в виде отдельного раздела ТЗ на создание ИТС, отдельного (частичного) ТЗ или дополнения к ТЗ на создание ИТС.

В ТЗ излагаются требования к функциональному составу и порядку разработки и внедрение технических средств, которые обеспечивают безопасность информации в процессе ее обработки в вычислительной системе ИТС, а также требования к организационным, физическим и другим мероприятиям защиты, которые реализуются вне вычислительной системы ИТС в дополнение к комплексу программно-технических средств защиты информации.

Проект КСЗИ разрабатывается на основании и в соответствии с ТЗ. Во время разработки проекта КСЗИ обосновываются и принимаются проектные решения, которые дают возможность реализовать требования ТЗ, обеспечить совместимость и взаимодействие разных компонентов КСЗИ, а также разных мероприятий и способов защиты информации. В результате создается комплект рабочей и эксплуатационной документации, необходимой для обеспечения тестирования, проведение пусконаладочных работ, испытаний и управления КСЗИ.

Под реализацией разрешительной системы допуска и организационно-технических мероприятий по защите информации понимаются проведение следующих действий:

- определение состава субъектов доступа к защищаемой информации (сотрудников организации);

- ознакомление сотрудников с правилами обработки защищаемой информации и обеспечения информационной безопасности, наложение на всех пользователей персональной ответственности за разглашение вверенной им защищаемой информации путем подписи ими соответствующих документов;

- разработка и утверждение перечня защищаемых информационных ресурсов, матрицы доступа сотрудников к защищаемым ресурсам;

- определение состава носителей защищаемой информации и их маркировка;

- формирование журналов учета паролей, журналов учета персональных идентификаторов, журналов учета носителей защищаемой информации.

1.3.3 Реализация и эксплуатация КСЗИ

Работы по внедрению системы включают выполнение следующих задач:

- закупка, установка и настройка средств защиты информации в КСЗИ;

проведение приёмо-сдаточных испытаний;

- аттестация КСЗИ на соответствие требованиям руководящих документов по безопасности информации (добровольная);

обучение пользователей;

- ввод СЗИ в эксплуатацию.

Закупка, установка и настройка (тестирование) технических средств проводится согласно требованиям, приведенным в проекте на создание КСЗИ.

Тестирование КСЗИ производится в целях проверки ее функционирования в соответствии с установленными требованиями, а так же выявления недостатков и их устранения. Она осуществляется в соответствии с программой, в которой указываются условия и порядок функционирования АС в защищенном исполнении, продолжительность опытной эксплуатации, порядок устранения выявленных недостатков [17].

Приемо-сдаточные испытания производятся с целью проверки полноты и качества реализации системой своих функций в разных условиях функционирования. Они осуществляются в соответствии с программой, в которой указываются перечень испытываемых объектов и предъявляемых к ним требований, критерии приемки системы и их частей, условия и сроки проведения испытаний, методику испытаний и обработки результатов [17].

Во время приемо-сдаточных испытаний:

- отрабатывают технологии обработки информации, оборот машинных носителей информации, управление средствами защиты, разграничение доступа пользователей к ресурсам ИТС и автоматизированного контроля действий пользователей;

- сотрудники службы защиты информации и пользователи ИТС приобретают практические привычки по использованию технических и программно-аппаратных средств защиты информации, усваивают требования организационных и распорядительных документов по вопросам разграничения доступа к техническим средствам и информационным ресурсам;

- осуществляется (по необходимости) доработка программного обеспечения, дополнительное наладка и конфигурирование комплекса средств защиты информации от несанкционированного доступа;

- осуществляется (по необходимости) корректирование рабочей и эксплуатационной документации.

По результатам приемо-сдаточных испытаний принимается решение о готовности КСЗИ в ИТС к представлению на государственную экспертизу.

Проведение аттестации КСЗИ является добровольным, за исключением случая, когда в организации хранятся и обрабатываются сведения, собственником которых является государство. Аттестация производится в целях проверки соответствия, системы защиты информации, требованиям, установленным нормативными документами Государственной службы специальной связи и защиты информации (ГСССЗИ). Проведение аттестации КСЗИ осуществляется в соответствии с программой и методикой аттестационных испытаний. По результатам испытаний составляется заключение и. в случае положительного решения аттестационной комиссии, выдается аттестат соответствия объекта информатизации требованиям по безопасности информации.

В качестве согласования установленной системы с рабочим персоналом проводятся мероприятия по их обучению. Такие мероприятия позволят, как правило, устранить некорректное использование установленных компонентов системы (оборудование, программное обеспечение и т.д.), появления ошибок и других угроз, возникающих со стороны персонала.

Последний этап предусматривает ведение постоянного контроля состояния КСЗИ, ее работы в соответствии с разработанным регламентом и требовании на ее эксплуатацию. Кроме того, для поддержания качества работы системы необходимо проводить проверку эффективности средств и методов защиты.

Выводы по разделу 1

Установлен перечень основных нормативно-правовых документов регламентирующих проектирование АИС в защищенном исполнении.

На основании этих документов, проведен анализ АС, в результате которого существует 3 класса таких систем по степени сложности и доступа к информации, циркулирующей в них.

Проанализированы особенности каждого класса АС. Наиболее требовательными к защите являются 1-й и 2-й классы.

Установлено, что для проектирования эффективной системы защиты необходимо АИС представить в виде различных модулей. В результате этого, используемые защитные мероприятия для каждого модуля будут независимы друг от друга, а в целом система защиты будет являться комплексной.

Проанализирован порядок создания КСЗИ. Установлено, что такая разработка обычно состоит из четырех этапов. Наиболее ответственным является третий этап, так как именно на данном этапе реализуются все защитные мероприятия по требованиям и техническому решению, принятым на предыдущих этапах.

2 ОБОСНОВАНИЕ НАПРАВЛЕНИЙ СОЗДАНИЯ КОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ

Для каждого типа угроз, возникающих при функционировании системы информационной безопасности, может быть одна или несколько мер противодействия. В связи с неоднозначностью выбора мер противодействия необходим поиск некоторых критериев, в качестве которых могут быть использованы надежность обеспечения сохранности информации и стоимость реализации защиты. Принимаемая мера противодействия с экономической точки зрения будет приемлема, если эффективность защиты с ее помощью, выраженная через снижение вероятного экономического ущерба, превышает затраты на ее реализацию. В этой ситуации можно определить максимально допустимые уровни риска в обеспечении сохранности информации и выбрать на этой основе одну или несколько экономически обоснованных мер противодействия, позволяющих снизить общий риск до такой степени, чтобы его величина была ниже максимально допустимого уровня. Из этого следует, что потенциальный нарушитель, стремящийся рационально использовать предоставленные ему возможности, не будет тратить на выполнение угрозы больше, чем он ожидает выиграть. Следовательно, необходимо поддерживать цену нарушения сохранности информации на уровне, превышающем ожидаемый выигрыш потенциального нарушителя. Рассмотрим эти подходы.

Утверждается, что большинство разработчиков средств вычислительной техники рассматривает любой механизм аппаратной защиты как некоторые дополнительные затраты с желанием за их счет снизить общие расходы. При решении на уровне руководителя проекта вопроса о разработке аппаратных средств защиты необходимо учитывать соотношение затрат на реализацию процедуры и достигаемого уровня обеспечения сохранности информации. Поэтому разработчику нужна некоторая формула, связывающая уровень защиты и затраты на ее реализацию, которая позволяла бы определить затраты на разработку потребных аппаратных средств, необходимых для создания заранее определенного уровня защиты. В общем виде такую зависимость можно задать исходя из следующих соображений. Если определять накладные расходы, связанные с защитой, как отношение количества использования некоторого ресурса механизмом управления доступом к общему количеству использования этого ресурса, то применение экономических рычагов управления доступом даст накладные расходы, приближающиеся к нулю.

2.1 Оценка необходимости защиты информации от НСД

При оценке необходимости защиты предприятия от несанкционированного доступа к информации можно считать, что полные затраты (потери) определятся выражением, которое нужно минимизировать

,(2.1)

где полные потери

,(2.2)

Rнез.сд. - прибыль от незаключенных сделок;

Rсорв.сд. - прибыль от сорванных сделок;

стоимость затрат на информационную защиту

,(2.3)

Rапп. - затраты на аппаратуру;

Rэкс. - эксплуатационные затраты;

Rреж. - затраты на организацию режима на предприятии;

Рпи - вероятность потерь информации;

Рнпи - условная вероятность необнаружения потерь информации;

Ропи =(1-Рнпи) - вероятность отсутствия потерь информации, (так как они составляют полную группу событий);

Роопи - условная вероятность ошибки в обнаружении потерь информации.

При этом надо учитывать, что Рнпи 1 при отсутствии аппаратных средств контроля, а Rооп 0 при полном охвате контролем.

Учитывая необходимость минимизации выражения полных потерь, целесообразность использования защиты будет при соблюдении условия

.

Практически это можно определить по формуле

.

При этом k=(2-5) и он выбирается больше при большем вложении в это предприятие (страховочный подход).

Вероятность не обнаружения потерь информации

.

Учитывая определенный опыт нескольких предприятий, можно

считать, что:

P₁ =0,1 - при установке аппаратуры по защите от подслушивания в помещении;

Р₂ =0,1-0,2 - при установке аппаратуры по защите от подслушивания по телефону;

Р₃ =0,1-0,2- при проведении мероприятий по защите компьютерных сетей;

Р4 =0,1 - при введении на предприятии особого режима;

Р5 =0,1 -при защите от записи на диктофон.

Несмотря на другой (с точки зрения знака и природы) характер зависимости вероятность ошибки в обнаружении потерь информации можно приближенно определить как

.

Таким образом, применение такого подхода в оценке необходимости защиты информации безусловно правомерно на предварительном этапе решения, поскольку не требует большого количества статистических данных.

2.2 Требования к защите информации от НСД в АС

Защиту информации от НСД в Украине на сегодняшний день регламентируют нормативные документы [2,3,8,12-14].

Учитывая данные нормативные документы, а также акцентируемые классы АС (класс 1 и 2), современный рынок средств защиты конфиденциальной информации можно условно разделить на две группы:

- средства защиты для госструктур, позволяющие выполнить требования нормативно-правовых документов, а также требования нормативно-технических документов (государственных стандартов, нормативных документов ГСССЗИ и т.д.);

- средства защиты для коммерческих компаний и структур, позволяющие выполнить рекомендации ISO/IEC 17799:2002 (BS 7799-1:2000) «Управление информационной безопасностью - Информационные технологии. - Information technology - Information security management».

Требования к защите информации от НСД могут накладываться различные.

Во-первых, на это влияет класс АС, который подразумевает обработку информации разных категорий. Рассмотренная ранее классификация АС, подробно описывает данную характеристику.

Во-вторых, важность объекта и стоимость (важность) информации. Если объект, является информационно важным (не говоря уже о государственном объекте, так как на этот случай необходимо руководствоваться исключительно нормативными документами), то в таком случае следует производить оценку информационных ресурсов, информационной системы в целом на определение ее важности (провести аудит информационной безопасности). После этого, как отдельным этапом, формируются требования к защите данного объекта.

Одним из требований обеспечения защиты информации в АС, согласно [14] является то, что обработка в АС конфиденциальной информации должна осуществляется с использованием защищенной технологии.

Технология обработки информации является защищенной, если она содержит программно-технические средства защиты и организационные мероприятия, которые обеспечивают выполнение общих требований по защите информации.

Общие требования предусматривают [14]:

- наличие перечня конфиденциальной информации, которая подлежит автоматизированной обработке; в случае необходимости возможна ее классификация в пределах категории по целевому назначению, степенью ограничения доступа отдельной категории пользователей и другими классификационными признаками;

- наличие определенного (созданного) ответственного подраздела, которому предоставляются полномочия относительно организации и внедрения технологии защиты информации, контроля за состоянием защищенности информации (дальше - служба защиты в АС, СЗИ);

- создание КСЗИ, которая являет собой совокупность организационных и инженерно-технических мероприятий, программно-аппаратных средств, направленных на обеспечение защиты информации во время функционирования АС;

- разработку плана защиты информации в АС, содержание которого определенно в приложении к НД ТЗИ 1.4-001;

- наличие аттестата соответствия КСЗИ в АС нормативным документам по защите информации;

- возможность определения средствами КСЗИ нескольких иерархических уровней полномочий пользователей и нескольких классификационных уровней информации;

- обязательность регистрации в АС всех пользователей и их действий относительно конфиденциальной информации;

- возможность предоставления пользователям только при условии служебной необходимости санкционированного и контролируемого доступа к конфиденциальной информации, которая обрабатывается в АС;

- запрет несанкционированной и неконтролируемой модификации конфиденциальной информации в АС;

- осуществление с помощью СЗИ учета выходных данных, полученных во время решения функциональной задачи, в форме отпечатанных документов, которые содержат конфиденциальную информацию, в соответствии с руководящими документами [14];

- запрет несанкционированного копирования, размножения, распространения конфиденциальной информации, в электронном виде;

- обеспечение с помощью СЗИ контроля за санкционированным копированием, размножением, распространением конфиденциальной информации, в электронном виде;

- возможность осуществления однозначной идентификации и аутентификации каждого зарегистрированного пользователя;

- обеспечение КСЗИ возможности своевременного доступа зарегистрированных пользователей АС к конфиденциальной информации.

Приведенные требования являются базовыми и применяются при защите информации от НСД во всех типах АС.

Условно разделив, АС на важнейшие подсистемы обеспечения защиты информации (рис 2.1), можно перечислить также требования, предъявляемые для защиты компьютерной информации от НСД в АС для каждой отдельной подсистемы.

3

2.2.1 Требования к защите конфиденциальной информации

Подсистема управления доступом должна удовлетворять следующим требованиям:

- идентифицировать и проверять подлинность субъектов доступа при входе в систему. Причем это должно осуществляться по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;