Проведение аттестации объектов информатизации (на примере Брянской городской администрации)

В данной курсовой работе рассматриваются вопросы проведения аттестации объектов информатизации и выделенных помещений, на примере объекта - Брянской городской администрации.

Цель работы - Выявление активов Брянской городской администрации, угроз и уязвимостей, через которые они могут быть реализованы. Анализ рисков информационной безопасности на объекте информатизации. Разработка документации для аттестации автоматизированной системы Брянской городской администрации.

В первой и второй частях курсового проекта вынесены исходные данные по предприятию, а также описано предварительное обследование и получены исходные данные по автоматизированной системе (АС) предприятия.

В третьей и четвертой частях курсового проекта описан процесс проведение подготовки объекта к аттестационным испытаниям, и произведена оценка результатов аттестационных испытаний.

В пятой части выполнена количественная оценка информационных рисков.

По результатам аттестации получен аттестат соответствия АС классу защищённости 1Г.

1. Предварительное обследование аттестуемого объекта информатизации

1.1 Общие сведения о предприятии

Исходные данные по Брянской городской администрации представлены в таблице 2.1.

Таблица 2.1 - Исходные данные по аттестуемому объекту информатизации

Технический паспорт объекта представлен в приложении 8.

2.1 Характер и уровень конфиденциальности обрабатываемой информации

Перечень разрешенного к использованию программного обеспечения на объекте информатизации, представлен в таблице 2.4.

Таблица 2.4 - Перечень разрешенного к использованию ПО

Таблица 2.5 - Перечень установленных СЗИ от НСД

2.4 Правила доступа к защищаемым ресурсам АС

Защищаемым информационным ресурсом АС являются:

ЖМД персональных СВТ;

ЖМД сервера.

Перечень пользователей допущенных к обработке информации представлен в таблице 2.6.

Таблица 2.6 - Перечень пользователей, допущенных к обработке информации

Таблица 2.7 - Матрица доступа к защищаемым информационным ресурсам

* - указанные права доступа к ЖМД сотрудники имеют только по отношению к своим персональным СВТ.

** - право исполнения распространяется только на разрешённые программы.

3. Подготовка к аттестации

Подсистема управления доступом:

должна осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия, длиной не менее шести буквенно-цифровых символов;

должна осуществляться идентификация терминалов, ЭВМ, узлов сети ЭВМ, каналов связи, внешних устройств ЭВМ по логическим именам;

должна осуществляться идентификация программ, томов, каталогов, файлов, записей, полей записей по именам;

должен осуществляться контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа (осуществляется средствами ОС).

Подсистема регистрации и учета:

должна осуществляться регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения АС. В параметрах регистрации указываются:

дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;

результат попытки входа: успешная или неуспешная - несанкционированная;

идентификатор (код или фамилия) субъекта, предъявленный при попытке доступа;

код или пароль, предъявленный при неуспешной попытке;

должна осуществляться регистрация выдачи печатных (графических) документов на "твердую" копию. В параметрах регистрации указываются:

дата и время выдачи (обращения к подсистеме вывода);

спецификация устройства выдачи [логическое имя (номер) внешнего устройства];

краткое содержание (наименование, вид, шифр, код) и уровень конфиденциальности документа;

идентификатор субъекта доступа, запросившего документ;

должна осуществляться регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки защищаемых файлов. В параметрах регистрации указываются:

дата и время запуска;

имя (идентификатор) программы (процесса, задания);

идентификатор субъекта доступа, запросившего программу (процесс, задание);

результат запуска (успешный, неуспешный - несанкционированный);

должна осуществляться регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам (осуществляется средствами ОС).

В параметрах регистрации указываются:

дата и время попытки доступа к защищаемому файлу с указанием ее результата: успешная, неуспешная - несанкционированная;

идентификатор субъекта доступа;

спецификация защищаемого файла;

должна осуществляться регистрация попыток доступа программных средств к следующим дополнительным защищаемым объектам доступа: терминалам, ЭВМ, узлам сети ЭВМ, линиям (каналам) связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей.

В параметрах регистрации указываются:

дата и время попытки доступа к защищаемому объекту с указанием ее результата: успешная, неуспешная - несанкционированная;

идентификатор субъекта доступа;

спецификация защищаемого объекта [логическое имя (номер)];

должен проводиться учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал (учетную карточку) (осуществляется организационными мероприятиями);

учет защищаемых носителей должен проводиться в журнале (картотеке) с регистрацией их выдачи (приема);

должна осуществляться очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей. Очистка осуществляется однократной произвольной записью в освобождаемую область памяти, ранее использованную для хранения защищаемых данных (файлов);

Подсистема обеспечения целостности:

должна быть обеспечена целостность программных средств СЗИ НСД, а также неизменность программной среды.

При этом:

целостность СЗИ НСД проверяется при загрузке системы по контрольным суммам компонент СЗИ;

целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации;

должна осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая контроль доступа в помещения АС посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения АС и хранилище носителей информации, особенно в нерабочее время (осуществляется организационными и инженерно-техническими мероприятиями);

должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест - программ, имитирующих попытки НСД;

должны быть в наличии средства восстановления СЗИ НСД, предусматривающие ведение двух копий программных средств СЗИ НСД и их периодическое обновление и контроль работоспособности (осуществляется организационными мероприятиями, а также использованием систем резервного копирования).

4. Аттестация

4.1 Аттестационные испытания

На этапе аттестационных испытаний объекта:

Производится проверка технологического процесса обработки и хранения информации (приложение 5) и определение состава используемых средств вычислительной техники (таблица 2.3).

Проверка состояния организации работ и выполнения организационно-технических требований по защите информации.

Проверяется соответствие реального состава ТСОИ (таблица 2.3), ВТСС (таблица 2.4) и средств защиты указанному в техническом паспорте на аттестуемый объект и представленных исходных данных.

Проверяется состояние и сохранность печатей на технических средствах, выявляются ТСОИ, ВТСС и средства защиты информации, подвергшиеся несанкционированному вскрытию.

Проверка защищенности автоматизированной системы от утечки информации за счет побочных электромагнитных излучений.

Испытания автоматизированной системы обработки информации на соответствие требованиям по защите информации.

Все выявленные нарушения и недостатки, отступления от проектных решений включаются в заключение по результатам аттестационных испытаний.

4.2 Испытания автоматизированной системы обработки информации на соответствие требованиям по защите информации

Требования по защите информации АС приведены в руководящем документе «Автоматизированные системы. Защита от несанкционированного доступа к информации Классификация автоматизированных систем и требования по защите информации». (Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г.).

АС класса 1Г должна удовлетворять требованиям представленным в пункте 4.1. Т. к. ЛВС имеет выход в сеть интернет, налагается ещё одно требование: наличие сертифицированного ФСТЭК межсетевого экрана.

4.3 Оценка результатов аттестационных испытаний

Производится подготовка отчетной документации, дается заключение аттестационной комиссии, проводится оформление и согласование отчетной документации в соответствии с требованиями ФСТЭК России.

По завершении аттестационных испытаний, автоматизированной системе выдаётся документ, подтверждающий её соответствие определенному уроню защиты информации - аттестат соответствия.

Аттестат соответствия приведён в приложении 6.

В случае не соответствия автоматизированной системы требованиям документации по защите информации, аттестационной комиссией могут быть рекомендованы мероприятия по повышению уровня защищенности информации, после выполнения которых выдают аттестат соответствия.

В результате проведённых аттестационных испытаний были выявлены недостатки в защищённости аттестуемого объекта. Необходимо провести усовершенствование средств и методик для достижения необходимого уровня защищённости.

4.4 Инженерно-технические средства защиты информации

4.5 Программно-аппаратные средства защиты информации

Установка RAID-массива на сервер

На сервере необходимо построить RAID Level-10, который комбинирует (объединяет) RAID 0 и RAID 1, т.е. зеркалирование группы дисководов, объединенных в RAID 0 для обеспечения максимального быстродействия. Этот уровень обеспечивает избыточность за счет зеркального отражения. Так как массив большой и скорость его работы важна - предпочтительна конфигурация из 8 относительно небольших HDD, вместо меньшего количества HDD большей емкости. По подсчетам эффективности и надежности винчестеров используются SATA - винчестера. Стоимость 8 жестких дисков Seagate Barracuda 7200.10 250GB (ST3250620A) будет приемлемой.

5. Оценка рисков

На первом шаге выполнения необходимо получить полный перечень информационных активов.

Информационные ресурсы предприятия, организации и других государственных и не государственных структур могут включать в себя документы и массивы документов (дела), документы в информационных системах (библиотеках, архивах, фондах, банках данных) на любых носителях в том числе, обеспечивающих работу вычислительной и оргтехники.

К информационным ресурсам Отдела относится следующая документация:

Проекты информатизации.

Технические задания.

Проекты постановлений Администрации.

Проекты распоряжений Администрации.

Информационные материалы для совещаний.

Проект программно-аппаратного комплекса.

Статистические данные.

Черновики проектов.

Рабочие материалы.

Служебные записки.

Отдел занимается разработкой инструкций, а также следит за их соблюдением. К этим инструкциям относятся:

Инструкция по работе с электронными документами.

Инструкция по хранению электронных документов.

Инструкции по администрированию БД.

Инструкция по ведению БД.

Инструкция по работе с электронно-вычислительной техникой.

Под конфиденциальной информацией понимается служебная, профессиональная, промышленная, коммерческая или иная информация, правовой режим которой устанавливается ее собственником на основе законов о коммерческой, профессиональной (промышленной) тайне, государственной службе и других законодательных актов.

К информационным ресурсам конфиденциального характера Отдела относится следующая документация:

Проекты информатизации.

Проекты постановлений Администрации.

Проекты распоряжений Администрации.

Проект программно-аппаратного комплекса.

Рабочие материалы и черновики проектов.

Все перечисленные выше информационные ресурсы составляют документооборот.

Структура документооборота Отдела

Схема документооборота Отдела показана на рис. 5.1.

Размещено на http://www.allbest.ru/

Рис. 5.1 - Схема документооборота Отдела

Документооборот Отдела выглядит следующим образом.

От руководителя аппарата начальнику Отдела в основном в устном виде поступают предложения, например, о написании постановления или распоряжения, о разработке программно-аппаратного комплекса и т.п. Начальник Отдела занимается разработкой технических заданий.

Техническое задание на проект постановления (распоряжения) получает заместитель начальника Отдела. Результатом выполнения технического задания является проект постановления (распоряжения).

Техническое задание на проект информатизации получает главный специалист. Результатом выполнения технического задания является проект информатизации.

Техническое задание на разработку программно-аппаратного комплекса получает главный специалист, который разрабатывает проект программно-аппаратного комплекса. Реализацией проекта занимается ведущий специалист, программист. Тестированием программно-аппаратного комплекса занимается специалист I категории. Результаты тестирования отражаются в отчете о тестировании программно-аппаратного комплекса.

Таким образом, в результате анализа информации, циркулирующей на объекте, имеем следующую таблицу (таблица 5.1).

Таблица 5.1 - Анализ информационных активов на предприятии

Для некоммерческих организаций оценка информационных активов производится группой экспертов и основывается на том, какой вред может принести воздействие УБИ на данный актив. При оценке необходимо руководствоваться требованиями нормативных и ведомственных документов. Количественно вред необходимо выразить в той сумме денег, которая потребуется для устранения последствий воздействия каждой УБИ. Поскольку вероятность воздействия сразу нескольких угроз мала, в качестве результата оценки достаточно использовать максимальную сумму. Эта сумма является стоимостью информационного актива (SИА).

В нашем случае SИА=300 000 руб. для проекта информатизации.

Стоимость информационного актива определяет минимально допустимое значением информационных рисков для него. Анализ важности ИА представляется в виде таблицы, формат которой представлен в таблице 5.2.

Таблица 5.2

Информационные ресурсы:

АСОД в кабинете начальника отдела

АСОД в кабинете бухгалтерии

Бумажные документы в кабинете секретаря

Сервер

Необходимо определить полную стоимость каждого ИР (SИР), которая будет равна значению ущерба при воздействии УБИ. Полная стоимость ИР складывается из его стоимости (SИРз) и стоимости содержащейся в нём информации (SИРа). Стоимость ИР определяется как сумма всех фактических расходов на приобретение, приведение и поддержании их в состоянии, в пригодном для использования в запланированных целях. Расчет стоимости ИР приведён в таблице 5.3.

Таблица 5.3

Далее необходимо провести оценку стоимости информации, содержащейся в ИР. Составляется таблица коэффициентов участия каждого ИР в реализации каждого ИА. (табл.5.4)

Таблица 5.4

Для определения части стоимости актива, входящую в ресурс, необходимо стоимость актива (SИА) умножить на коэффициент. Т.е. в оценочной матрице необходимо заменить значения коэффициентов их произведением на стоимость актива. Стоимость информации ИР (SИРа) определяется, как сумма частей стоимости активов, которые он реализует. Это соответствует сумме значений оценочной матрицы по строкам (табл.5.5).

Таблица 5.5

Полная стоимость ИР (SИР) слагается из суммы затрат на него (SИРз) и стоимости информации (SИРа), т.е.

Ресурс 1 = 36 500+ 201 000 = 237 500

Ресурс 2 = 19 190+ 94 050 = 113 240

Ресурс 3 = 10 500+ 261 550 = 275 050

Ресурс 4= 10 000 + 275 550= 285 550

Результатом анализа информации является перечень информационных ресурсов с полной стоимостью и величиной максимального риска. Он представлен в таблице 5.6.

Таблица 5.6

Далее проводится анализ угроз информационной безопасности. Он состоит из двух частей:

1. Анализ угроз безопасности информации (УБИ).

2. Анализ уязвимостей.

Оценка угроз безопасности предприятия представляется в виде таблицы 5.7.

Таблица 5.7

Второй этап - анализ уязвимостей. Результатом данного этапа анализа рисков является перечень уязвимостей, через которые реализуются угрозы и значения вероятности их проявления (Pуз). Любая уязвимость может проявиться только в том случае, когда проявляются три фактора: пространственный (Ps), временной (Pt) и энергетический(Pp). Эти факторы называются прямыми.

.

Анализ и оценка уязвимостей представлены в таблице 5.8.

Таблица 5.8

Разработка мероприятий по защите информации и подбор технических средств необходимо начать с анализа информационных рисков. Он состоит из:

1. Расчета рисков.

2. Перекрёстного анализа.

Таблица 5.9

Совокупная вероятность вычисляется по формуле:

= 0.7 + 0 + 0.02 - (0.7•0) - (0.7•0.02) - (0•0.02) + (0.7•0•0.02) = 0.706

= 0.02

= 0.02 + 0.02 + 0.6 - (0.02•0.02) - (0.02•0.6) - (0.02•0.6) + (0.02•0.02•0.6) = 0.616

= 0.5 + 0.5 - (0.5•0.5) = 0.75

Таблица 5.10

Таблица 5.11

При условии выполнения предложенных организационно-технических мероприятий их предотвращения риск практически сводится к нулю.

6. Разработка организационно-технических мероприятий