Организация системы мероприятий, направленных на предотвращение хищения или нанесения вреда информации

Целью данной работы является организация системы мероприятий, направленных на предотвращение хищения или нанесения вреда информации в Обществе с Ограниченной Ответственностью «Реконструкция. Телекоммуникации. Автоматика», далее - ООО «Р.Т.А.» или компания.

В рамках данной дипломной работы будет рассматриваться уже существующая система защиты компании, способы ее модернизации, а так же создание системы безопасности против хищения и утери информации, включающей в себя как программные, так и инженерно-технические (охранные) средства защиты.

К инженерно-техническим средствам защиты в рамках данной дипломной работы относятся:

Камеры видеонаблюдения.

Турникеты.

Магнитные замки, открываемые индивидуальными смарт-картами сотрудников.

Инфракрасные датчики движения.

Источники бесперебойного питания.

Эти средства защиты (кроме источников бесперебойного питания) являют собой охранные объекты, предназначенные для предотвращения проникновения в здание компании с целью физического хищения, порчи или подмены данных.

К программным средствам защиты информации в рамках данной дипломной работы относятся:

Сетевые экраны.

Антивирусы.

Диспетчеры задач.

Системы обновления ОС.

Средства архивации и восстановления данных.

Чтобы обеспечить максимальную степень безопасности, необходимо использовать совокупность программных и инженерно-технических средств защиты. Система защиты должна проектироваться параллельно процессу создания самой проектируемой системы. Необходим постоянный контроль её функционирования во избежание появления «слабых мест», через которые информация может выйти за пределы защищённой области и попасть в руки злоумышленнику.

1. АНАЛИТИЧЕСКАЯ ЧАСТЬ

Указом генерального директора от 12 октября 1998г. в компании ежемесячно проводится анализ рисков информационной безопасности.

Начальник отдела информационных технологий принимает решение о проведении анализа рисков. Отделы сдают отчеты обо всех случаях нарушения информационной безопасности с целью дальнейшего изучения отделом ИТ и принятия мер по недопущению повторных инцидентов.

Ежеквартально проводится профилактическая проверка линий связи на предмет прослушивания, обрывов и помех.

Ежеквартально проводится профилактическая проверка охранных средств защиты от незаконного проникновения.

Основные аспекты информационной безопасности в ООО «Р.Т.А.»:

Выявлением уязвимостей системы защиты и иных проблем при работе с информацией занимается отдел ИТ-безопасности. Отдел ИТ-безопасности выпускает постановление об устранении неполадок, основанное на результатах профилактических проверок и служебных записок от сотрудников, и непосредственно устранением занимается группа системного администрирования.

Определением необходимых затрат занимаются сотрудники управления, выделение достаточных затрат на обеспечение информационной безопасности осуществляется после согласования с генеральным директором, а в его отсутствие - с техническим директором.

Выбор конкретных мер, методов, средств и системы защиты ложится на сотрудников отдела ИТ-безопасности при согласовании с группой системного администрирования.

Идентификация и оценка информационных активов.

Информационный актив является компонентом или частью общей системы, в которую организация напрямую вкладывает средства, и который, соответственно, требует защиты со стороны организации.

В таблице 2 перечислены ресурсы компании, являющиеся оцениваемыми активами в рамках данной дипломной работы, подлежащие защите или модернизации для повышения уровня защиты:

Таблица 2 - Оценка информационных активов компании

Обоснование выбора активов:

Конфиденциальная информация (документы компании, электронные сообщения) - к данному активу относятся документы, содержащие конфиденциальную информацию о финансовой деятельности ОО «Р.Т.А.», сотрудниках, договорах и иной деятельности компании, которая не должна быть доступна для посторонних. Электронная переписка сотрудников должна быть под защитой в виду того, что она может содержать переписку с заказчиками и прикрепленные документы.

Хранилище файлов на общем сетевом диске - общий сетевой диск служит для быстрого обмена большими объемами информации между сотрудниками компании, которая может содержать помимо документов промежуточные варианты контента, который предназначается для заказчика. Данная информация носит сугубо конфиденциальный характер, и ни при каких обстоятельствах не должна попасть в руки злоумышленников.

Защита персональных компьютеров сотрудников от вирусных атак и сбоев, связанных с неполадками в электросети - программно-аппаратный комплекс защитных средств так же необходимо защищать в виду высокой начальной стоимости и не менее высокой важности в обеспечении информационной безопасности компании.

Защита от незаконного проникновения - оборудование, обеспечивающее защиту от незаконного проникновения в помещения компании, является первым фронтом защиты и оповещения о возможном вмешательстве злоумышленников в конфиденциальные дела компании. Вывод из строя охранного оборудования может повлечь за собой тяжелые финансовые потери, как на ремонт и восстановление, так и в связи с утратой конфиденциальной информации.

Сведения, имеющие конфиденциальный характер:

Бухгалтерская документация - сведения о заработной плате сотрудников, налоговая отчетность, доходы и расходы компании.

Кадровая информация - сведения о сотрудниках, работающих в компании.

Информация о договорах - данные о заключенных текущих и выполненных договорах, информация о суммах сделки, услугах, предоставляемых компанией и заказчиках.

Складская информация - оборудование, имеющееся в распоряжении компании. Наличие на складе и данные о поступлении и выдаче под отчет.

Информация об архитектуре и реализации системы защиты компании от вирусных атак и несанкционированного проникновения.

Требования по обеспечению сохранения служебной тайны сотрудниками компании.

Для проведения общей оценки активов обычно применяется метод ранжирования, при котором каждому активу выставляется некоторый ранг (число), обозначающий его ценность относительно других. Чем выше ранг, тем важнее актив. В таблице 3 ниже приведена оценка активов на основе экспертной оценки начальника отдела информационных технологий:

Таблица 3 - Результаты оценки активов

Активами, имеющим наибольшую ценность, являются:

Конфиденциальная информация.

Престиж компании.

Оценка уязвимостей активов.

В данном разделе проведена идентификация уязвимостей предметной области (Таблица 4), которые могли бы быть использованы источником угроз для нанесения ущерба активам и деловой деятельности компании, осуществляемой с их использованием. В качестве источника информации для оценки уязвимости активов использовались открытые базы данных в сети Интернет.

Таблица 4 - Идентификация уязвимостей предметной области

Описание уязвимостей предметной области:

Уязвимость в системе охраны - может повлечь за собой хищение и повреждение оборудования, хищение и использование конфиденциальной информации компании против нее самой, а так же, подмену или уничтожение конфиденциальной информации.

Нестабильная работа электросети (колебания напряжения или полное отключение электроэнергии) - несохраненная информация может быть утеряна при аварийном выключении или перезагрузке персонального рабочего компьютера сотрудника, а так же аппаратному обеспечению могут быть нанесены электрические повреждения.

Уязвимости в микропрограммном обеспечении - могут быть использованы для вывода из строя оборудования компании.

Критические уязвимости средств антивирусной защиты и контроля доступа - могут быть использованы для хищения, подмены, уничтожения конфиденциальной информации и создания помех в работе локальной сети компании.

Проведение атаки на отказ в обслуживании - может стать причиной отказа в работе локальной сети компании и ограничить возможности сотрудников в обмене информацией.

Хищение документов - может повлечь за собой шантаж руководства компании или отдельных сотрудников, переманивание сотрудников в другую компанию, использование информации о заказах для перехвата проекта у заказчика.

Использование методов социальной инженерии - может повлечь за собой рассекречивание аутентификационных данных сотрудников, коммерческой информации, информации о договорах, архитектуры охранной системы безопасности (расположение камер, датчиков движения).

Оценка угроз активам.

Угроза - это потенциальная причина инцидента, который может нанести ущерб системе или организации, а инцидент, (инцидент информационной безопасности) - это любое непредвиденное или нежелательное событие, которое может нарушить деятельность организации или информационную безопасность.

Основанием для проведения оценки угроз активам является необходимость их описания в данной дипломной работе. Отдел информационных технологий не располагает информацией о подобной оценке.

Источниками угроз могут выступать:

Халатность персонала или их ошибочные действия, которые могут повлечь за собой порчу оборудования, хранящего и обрабатывающего конфиденциальную информацию; непреднамеренное искажение информации (например, при подмене новых файлов старыми) или ее удаление. Угрозы данного вида могут нанести существенный вред компании в виду фактора внезапности их возникновения. При несообщении провинившимся сотрудником о происшествии и непринятии мер по ликвидации угрозы, последствия могут нанести серьезный финансовый ущерб компании. В связи с отсутствием материалов об оценке угроз активам, является довольно затруднительным установить частоту появления данного вида угроз, однако, несомненно, данный вид угроз является одним из самых частых по появлению.

Стихийные, техногенные и природные катаклизмы - чрезвычайные происшествия, не связанные или косвенно связанные с деятельностью человека, такие как пожары, затопления водой, землетрясения, саморазрушение здания вследствие нарушения технологии строительства или других факторов, в результате которых оборудование, хранящее и обрабатывающее информацию, может быть повреждено или уничтожено, а в здание при ликвидации последствий происшествий, либо во время эвакуации персонала, может проникнуть нарушитель под видом сотрудника пожарной службы, службы спасения, и др. Рядом со зданием компании строятся четыре новых офисных корпуса, в связи с этим возрастает риск техногенного инцидента.

Угрозы со стороны третьих лиц, либо умышленные действия персонала такие как: рейдерский захват здания, саботаж, забастовки, террористические акты, локальные беспорядки, сопровождаемые нападением на здание компании и др. Данный вид угроз может носить как спонтанный характер, так и быть заранее спланированной акцией, созданной злоумышленниками с целью проникновения в здание и получения доступа к конфиденциальной информации и оборудованию.

По результатам оценки угроз активам, была составлена таблица 5 для характеризации возможных угроз активам и проведения их качественной оценки.

Таблица 5 - Результаты оценки угроз активам

Оценка существующих и планируемых средств защиты.

Обеспечением информационной безопасности компании занимается отдел информационных технологий.

Из защитных мер против проникновения в здании имеются два поста охраны с турникетом, открываемым либо с помощью смарт-карты, либо с пульта охранника, несущего круглосуточное дежурство. Доступ к служебному входу ограничен дверью с электронным замком и видеофоном. Доступ к грузовому подъезду осуществляется только по предварительной записи и только в заранее оговоренное время, однако он не охраняется в виду того, что двери грузового подъезда открываются только изнутри и только когда грузовой лифт находится на первом этаже.

Дверь в каждый офис блокируется магнитным замком, открываемым индивидуальной смарт-картой (пропуском) сотрудника компании. На ночь на каждой комнате включается сигнализация. Есть возможность выборочного включения и отключения сигнализации в определенных комнатах, например, для сотрудников, остающихся работать на ночь. Однако пропуска уволенных сотрудников не декодируются, а остаются в соответствующем отделе у технического специалиста; если злоумышленник получит доступ к хранилищу этих пропусков, то сможет получить не только доступ в офис, но и право беспрепятственного прохода через турникет на посте охраны при входе в здание. Схема систем безопасности приведена на рисунках 2 и 3.

Рис. 2 - Система видеонаблюдения

Рис. 3 - Инфракрасные датчики движения

В общем коридоре на каждом этаже имеется по одной камере видеонаблюдения, однако общий коридор имеет Г-образную форму, вследствие чего сотрудники охраны не имеют возможности следить за помещением за углом.

Видеонаблюдение осуществляется купольными камерами SAMSUNG SCC-B5366В со следующими техническими характеристиками:

Тип камеры - купольная аналоговая.

Цветность - цветная.

Матрица - 1/3” Super HAD IT.

Объектив - варифокальный с диапазоном фокусных расстояний 2,5 - 6мм.

Разрешение - 600 ТВ линий.

Чувствительность - 0,12 лк (15 IRE) в цветном режиме и 0,012 лк (15 IRE) в черно-белом.

Соотношение сигнал/шум - более 52 дБ при выключенном АРУ.

День/ночь - цветной/монохромный/автоматический.

Баланс белого - более 52 дБ при выключенном АРУ.

Электронный затвор (скорость) - 1/50 - 1/10000.

Автодиафрагма - управляемая сигналом постоянного тока DC или с фиксированная.

BLC (компенсация встречной засветки).

Экранное меню на русском языке.

Детектор движения.

Интерфейс RS-485 и CCVC.

Питание - 12 B DC и 24 В АС.

Диапазон рабочих температур - 10 - +50 градусов Цельсия.

Габариты - 128х78 мм.

Вес - 330 г.

Рис. 4 - Камера SAMSUNG SCC-B5366В

В кабинетах имеются инфракрасные датчики движения. Однако они являются единственным средством оповещения охраны, в результате чего при срабатывании датчика у охраны не будет данных ни о точке входа злоумышленников в помещение, ни об их количестве.

Антивирусная система защиты на большинстве компьютеров либо отсутствует, либо находится в неактивном состоянии в виду личной неприязни большинства сотрудников к замедлению работы их персональных рабочих компьютеров вследствие работы антивирусной системы защиты. Профилактических мероприятий по информационной безопасности не проводится.

Доступ к каждому компьютеру сотрудников ограничен индивидуальным паролем. Доступ к общему сетевому диску так же ограничен паролем, однако на большинстве компьютеров этот пароль вводится системой автоматически для ускорения процесса подключения.

Все персональные рабочие компьютеры сотрудников подключены к локальной сети компании и имеют доступ в Интернет.

Техническая архитектура компании изображена на рисунке 4.

Рис. 5 - Техническая архитектура компании

Для подключения к Интернет используется модем Prestige 841C EE, для подключения компьютеров к локальной сети - маршрутизаторы D-Link DIR-140L.

Главный сервер представляет собой серверный шкаф под управлением процессора Intel iCore7 с дисковым массивом HP P2000 G3 MSA Array System объемом 16ТБ, маршрутизатором LynkSys RV042, патч-панелью RJ45 Cat. 5e и источником бесперебойного питания Ippon Smart Winner 3000.

Рабочие персональные компьютеры сотрудников собираются из комплектующих в стенах компании, и их конфигурация сильно отличается.

У каждого отдела в распоряжении имеется МФУ Canon 220 i-SENSYS MF 4018.

На персональных рабочих компьютерах сотрудников установлена операционная система Windows7 Ultimate или Windows XP Professional с пакетом Microsoft Office 2003, 2007 или 2010, на сервере - Windows Server 2012 с системой управления базой данных Oracle.

Более подробного описания технических характеристик отделом Информационных Технологий предоставлено не было.

В рамках данной дипломной работы рассматривается разработка защиты против хищения информации, таким образом, рассмотрению подлежит только один актив: конфиденциальная информация компании, включающая в себя:

Данные аутентификации пользователей - пароли сотрудников, зная которые, злоумышленник может получить доступ к содержимому их жестких дисков, а так же к общему сетевому диску.

Данные о текущих договорах компании - заказы на предоставление оборудования в аренду, на написание программного обеспечения или проведения иных мероприятий.

По итогам проведения анализа существующих средств защиты, была составлена таблица степени обеспечения безопасности активов (таблица 6).

Таблица 6 - Степень обеспечения безопасности активов

С целью снижения уровня угроз актива был проведен анализ, по результатам которого был составлен список планируемых мероприятий по его защите:

Сведение к минимуму хранения информации в бумажном виде и перевод ее в цифровой вид.

Уничтожение информации, хранимой в бумажном виде, после дублирования ее в цифровой вид.

Принудительное отключение автоматического ввода пароля при подключении к сетевому диску.

Принудительное включение средств антивирусной защиты на компьютерах сотрудников.

Деактивация пропусков уволенных сотрудников во избежание их использования с целью несанкционированного проникновения в кабинеты компании.

Оснащение общего коридора дополнительной камерой видеонаблюдения.

Дооснащение кабинетов камерами видеонаблюдения в дополнение к инфракрасным датчикам движения.

Оценка рисков.

Риск - характеристика ситуации, имеющей неопределённость исхода, при обязательном наличии неблагоприятных последствий в виде ущерба или убытков. Риск обладает следующими свойствами:

Неопределённость. Риск существует тогда и только тогда, когда возможно не единственное развитие событий.

Ущерб. Риск существует, когда исход может привести к негативному последствию.

Наличие анализа. Риск существует, только когда сформировано субъективное мнение «предполагающего» о ситуации и дана качественная или количественная оценка негативного события будущего периода.

Значимость. Риск существует, когда предполагаемое событие имеет практическое значение и затрагивает интересы хотя бы одного субъекта.

Функции, присущие риску:

Защитная - проявляется в том, что для хозяйствующего субъекта риск это нормальное состояние, поэтому должно вырабатываться рациональное отношение к неудачам.

Аналитическая - наличие риска предполагает необходимость выбора одного из возможных вариантов правильного решения.

Инновационная - проявляется в стимулировании поиска нетрадиционных решений проблем.

Регулятивная - имеет противоречивый характер и выступает в двух формах: конструктивной и деструктивной.

Для оценки риска необходимо знать следующие элементы управления:

Ценности - информация, подлежащая защите.

Угрозы - вредные факторы, от которых производится защита информации.

Последствия - проблемы, которые могут возникнуть в случае успешной реализации угроз.

Меры защиты - комплекс мер по предотвращению угроз.

В виду того, что в компании не ведется отдельной оценки рисков информационной безопасности, оценка была проведена специально для данной дипломной работы. Результаты оценки приведены в таблице 7 и условно ранжированы по степени риска от 1 (наивысший) до 5 (низший).

Таблица 7 - Результаты оценки рисков информационным активам компании

Таким образом, получается, что наибольшему риску подвергаются престиж компании и конфиденциальная информация, а так же аутентификационные данные сотрудников.

1.3 Задачи и обоснование необходимости совершенствования системы обеспечения информационной безопасности и защиты информации на предприятии

Выбор комплекса задач обеспечения информационной безопасности и защиты информации из выполняемых предприятием задач и существующих рисков, характеристика существующих средств информационной безопасности.

В комплекс задач по обеспечению информационной безопасности и защиты информации входят:

Сведение к минимуму хранения информации в бумажном виде и перевод ее в цифровой вид с обязательным сохранением резервных копий для восстановления в случае сбоя.

Уничтожение информации, хранимой в бумажном виде, после дублирования ее в цифровой вид.

Принудительное отключение автоматического ввода пароля при подключении к сетевому диску.

Принудительное включение средств антивирусной защиты на компьютерах сотрудников и установка автоматического обновления антивирусных баз и операционных систем на рабочих компьютерах сотрудников.

Декодирование пропусков уволенных сотрудников во избежание их использования с целью несанкционированного проникновения в кабинеты компании.

Оснащение общего коридора дополнительной камерой видеонаблюдения.

Дооснащение кабинетов камерами видеонаблюдения в дополнение к инфракрасным датчикам движения.

На схеме ниже указано схематическое расположение комплекса задач по обеспечению безопасности информации. Задачи, решаемые в рамках данной дипломной работы выделены более темным фоном.

Рис. 6 - Комплекс задач по обеспечению защиты информации

Определение места проектируемого комплекса задач в комплексе задач предприятия, детализация задач информационной безопасности и защиты информации.

Местом рассматриваемого комплекса задач, описанного в предыдущей главе, является офисное помещение ООО «Р.Т.А.». Границами рассматриваемой задачи является разработка системы защиты против хищения информации в ООО «Р.Т.А.», включающее в себя улучшение существующей системы охранной защиты и описание мер, направленных на более защищенное хранение информации на компьютерах сотрудников и на общем сетевом диске.

1.4 Выбор защитных мер

Выбор организационных мер.

В качестве организационных мер рекомендуется провести следующие мероприятия:

Таблица 8

Выбор инженерно-технических мер.

В качестве инженерно-технических мер будет проведена модернизация текущей охранной системы безопасности с целью повышения защищенности и мониторинга, а так же повышение стабильности работы компьютеров, обрабатывающих и хранящих конфиденциальную информацию, путем установки дополнительного оборудования:

Установка дополнительной камеры видеонаблюдения в общем коридоре для повышения степени охранного мониторинга.

Дооснащение кабинетов камерами видеонаблюдения в дополнение к инфракрасным датчикам движения, либо замена датчиков движения на камеры со встроенными датчиками движения для повышения охранного мониторинга.

Оснащение грузового подъезда здания компании системой видеонаблюдения и инфракрасным датчиком движения для повышения охранного мониторинга.

Закупка и установка источников бесперебойного питания для обеспечения сотрудникам своевременного сохранения текущих документов во избежание потери данных в условиях отключения электричества для повышения надежности хранения информации.

Декодирование смарт-карт уволенных сотрудников для повышения охранной безопасности.

Приведение данных мер в исполнение повысит как уровень охранной безопасности компании, так и уровень сохранности информации, находящейся на компьютерах сотрудников.

2. ПРОЕКТНАЯ ЧАСТЬ

Структура программно-аппаратного комплекса информационной безопасности и защиты информации предприятия.

Система видеонаблюдения.

Система видеонаблюдения (закрытые системы кабельного телевидения, CCTV) - система аппаратно-программных средств, предназначенная для осуществления видеонаблюдения.

Локальная система - система, область действия и применения которой ограничена географически территорией здания, предприятия, организации и т. п.

Системы видеонаблюдения бывают централизованные и децентрализованные:

Централизованная система имеет один центр и некоторое количество видеокамер.

Децентрализованная система представляет себя как совокупность нескольких централизованных, объединенных логически в одну структуру, но физически разделенных и способных функционировать независимо.

Характеристики и единицы измерения, используемые в системах видеонаблюдения:

Чувствительность видеокамеры характеризуется минимальным отверстием диафрагмы (максимальным F-числом), дающим видеосигнал размаха 1В на тестовой таблице, освещенность которой 2000лк и цветовой температурой 3200°К. Чувствительность видеокамеры, четко определенная в широковещательном ТВ, в охранном телевидении часто понимается неверно, её обычно путают с минимальной освещенностью.

Минимальная освещенность - (в характеристиках видеокамер этот параметр часто указывают как чувствительность) это наименьшая освещенность на объекте, при которой видеокамера дает распознаваемый сигнал, выражается в люксах на объекте. Ряд производителей использует термин распознаваемый сигнал в широком смысле и не указывают уровень сигнала на выходе видеокамеры. Этот уровень может составлять даже 10 %, что при включенной АРУ будет казаться значительно больше.

Типичные уровни освещенности:

Облачная безлунная ночь - 0,0001лк

Ясная безлунная ночь - 0,001лк

Полнолуние - 0,01-0,1лк

Уличное освещение - 1-10лк