Рассмотрим организационную структуру Института.

Структура органов института является трехуровневой, она представлена ниже.

Размещено на http://www.allbest.ru/

2.3 Инвентаризация по данным

Таблица 2

Инвентаризация по аппаратному обеспечению

2.5 Программное обеспечение процесса

- доступность (обеспечение процесса, организация наличия в нужный момент);

- целостность (защита от несанкционированной модификации);

- конфиденциальность (пресечение разглашения).

Доступность:

Д0 - критическая (полное отсутствие);

Д1 - очень важная (работа системы возможна в небольшой промежуток времени);

Д2 - важная (работа системы возможна на протяжении определенного промежутка времени, но наступит момент, когда работа системы будет остановлена);

Д3 - полезная (работа системы возможна без нее, использование повышает эффективность работы);

Д4 - несущественная;

Д5 - вредная (наличие приводит к снижению эффективности обработки).

Целостность:

Ц0 - критическая (необратимое разрушение информационного пространства);

Ц1 - необратимое изменение информационного пространства, если в течение небольшого промежутка времени дефект не устранен;

Ц2 - важная (последствия обратимы, но если через определенный промежуток времени восстановления не произойдет - процесс будет остановлен);

Ц3 - значимая (не приводит к остановке процесса, изменения заметны);

Ц4 - незначимая.

Конфиденциальность:

К0 - критическая (крах системы);

К1 - очень важная (значительные материальные потери при отсутствии оперативного реагирования на разглашение);

К2 - важная (некоторые материальные потери);

К3 - значимая (решение задачи не прекращается);

К4 - незначимая.

Таблица 4

Классификация объектов ИС

4. Анализ возможных каналов утечки

Рассмотрим основные потенциально возможные каналы утечки информации на рабочем месте экономиста.

Существуют следующие каналы утечки информации:

1. Уровень файлов:

§ несанкционированный просмотр (К1);

§ несанкционированный просмотр с частичным или полным копированием данных (К2);

§ физическое уничтожение (К3);

§ кража с носителем (К4).

2. Уровень процессора.

§ сбои программного обеспечения (К5);

§ сбои аппаратного обеспечения (К6);

§ воздействие сильных магнитных полей на магнитные носители информации или дефекты оборудования, приводящее к разрушению хранимой информации (К7);

§ отключение или вывод из строя подсистем обеспечения безопасности ИС (К8);

§ сбои и ошибки в работе аппаратуры, вызванные скачками напряжения в сети питания, неисправностями энергоснабжения, временными или постоянными ошибками в ее схемах (К9).

3. Уровень каналов передачи информации:

§ незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений (перемыкание) (К10);

§ перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации (К11);

§ внедрение аппаратных и программных “закладок” и “вирусов”, позволяющих преодолевать систему защиты, скрытно и незаконно осуществлять доступ к системным ресурсам ИС (К12);

§ неумышленное повреждение каналов связи (К13).

4. Уровень коммутационного пункта:

§ неправильная коммутация абонентов (перемыкание) (К14);

§ ответвление линий связи - организация дополнительных точек подключения (К15).

5. Уровень терминала (рабочее место):

§ небрежное хранение и учет носителей, а также их нечеткая идентификация - нарушение регламентных требований по организации ввода, хранения и использования данных (К16)

§ ошибки ввода данных (К17);

§ неумышленная порча носителей информации (К18);

Таблица 5

Матрица М0. Каналы утечки информации.

0 - канал утечки не влияет на информационный элемент;

1 - влияет (вероятность значительная, интенсивность утечки не нулевая).

Проанализировав Матрицу МО (табл. 5) можно сделать вывод о том, что такие информационные элементы как: «Пакет документов для финансово-экономического анализа (эл)» - 15, «Финансовое заключение по анализируемому предприятию (эл)» - 15 и Информация о предприятии-клиенте (эл) - 13 в большей степени, по сравнению с другими информационными элементами, подвержены атаке.

Наиболее активными каналами утечки являются: К1, К2, К3, К4 и К18.

5. Анализ существующих методов и средств защиты информации

Для рассматриваемого рабочего места можно выделить следующие средства защиты:

§ С1 - видеонаблюдение;

§ С2 - пропускная система;

§ С3 - охрана внутренних помещений;

§ С4 - сигнализация (вне рабочего времени);

§ С5 - визуальное наблюдение;

§ С6 - решетки на окнах офиса;

§ С7 - контроль доступа и полномочий;

§ С8 - антивирусная защита;

§ С9 - ИБП;

§ С10 - резервное копирование.

§ С11 - инструкция по работе с конфиденциальной информацией

§ С12 - правила работы в системе СААФСО

Каналы утечки К14 и К15 в рассмотрение не берутся, т.к. они не были использованы в Матрице М0.

Таблица 6

Матрица М1 Анализ перекрытия КУ

0 - средства защиты не перекрывают;

1 - средства защиты перекрывают

Из Матрицы М1 (табл. 6) видно, что из совсем не защищенными КУ являются К7 (воздействие сильных магнитных полей на магнитные носители информации или дефекты оборудования, приводящее к разрушению хранимой информации). Наиболее защищенными КУ является К3 (физическое уничтожение) и КУ4 (кража с носителем).

6. Анализ защищенности данных в ИС

На основании результатов обследования, содержащихся в материалах инвентаризации (табл. 1 - 3), результатов классификации (табл. 4) следует обработать данные матриц М0 и М1 (табл. 5 и 6) построим матрицу М2 (табл. 7), которая будет являться итоговой матрицей, отражающей степень защищенности каждого информационного элемента.

Выявим незащищенные (слабо защищенные) элементы, неприменяемые (лишние) средства (методы) защиты. Для оценки степени защиты информационных элементов средствами защиты используем 16-балльную шкалу оценки (т.к. каналов утечки 16).

0 - средство защиты не защищает ни от одного канала утечки;

16 - средство полностью защищает информационный элемент от всех каналов утечки.

Таблица 7

Матрица М2

Из Матрицы М2 (табл. 7) можно сделать вывод о том, что наиболее защищенными информационными элементами являются: Информация о предприятии-клиенте (эл.), Пакет документов для финансово-экономического анализа (эл.), Нормативные коэффициенты (эл.) и Финансовое заключение по анализируемому предприятию (эл.). Менее защищенными информационными элементами являются: Пакет документов для финансово-экономического анализа (буж), Внутрифирменные документы предприятия, определяющие работу экономиста-аналитика (бум), Инструкции по работе с конфиденциальными данными (бум) и Финансовое заключение по анализируемому предприятию (бум).

7. Выводы о состоянии защиты информации, рекомендации по ее улучшению

В ходе проведения анализа на информационную безопасность РМ экономиста «ИГиЛ» было выявлено, что:

· На данном рабочем месте существует 16 каналов утечек;

· Информационные элементы, которые более других подвержены атаке являются:

Ш Пакет документов для финансово-экономического анализа (эл);

Ш Финансовое заключение по анализируемому предприятию (эл);

Ш Информация о предприятии-клиенте (эл).

· Совсем не защищенными КУ являются:

Ш К7 (воздействие сильных магнитных полей на магнитные носители информации или дефекты оборудования, приводящее к разрушению хранимой информации);

Ш К10 (незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений (перемыкание)).

· Менее защищенными информационными элементами являются:

Ш Пакет документов для финансово-экономического анализа (буж);

Ш Внутрифирменные документы предприятия, определяющие работу экономиста-аналитика (бум);

Ш Инструкции по работе с конфиденциальными данными (бум);

Ш Финансовое заключение по анализируемому предприятию (бум).

Стоит отметить, что те информационные объекты, которые более других подвержены атаке, не попали в список менее защищенных информационных элементов. Этот факт говорит о хорошей информационной безопасности данного рабочего места.

С целью устранения риска нанесения ущерба от раскрытия и уничтожения данных все же необходимо использовать дополнительные средства защиты: средства защиты каналов связи (например, чтобы избежать прослушивания телефонов), зашумляющие генераторы излучений и пр.

Размещено на Allbest.ru