Содержание
Введение. 4
1. АНАЛИТИЧЕСКАЯ ЧАСТЬ. 7
1.1 Анализ предметной области исследования. 7
1.1.1 Обоснование актуальности исследования. 7
1.1.2 Постановка задачи, определение предмета и объекта исследования. 7
1.1.3 Теоретическая и методологическая основа исследования. 8
1.2 Характеристика задачи и объекта исследования. 11
1.2.2 Система управления ИБ на предприятии. 11
1.2.3 Обоснование выбора задачи для объекта исследования. 14
1.2.4 Определение связи задачи исследования с другими задачами. 16
1.3 Характеристика задачи в рамках комплекса задач объекта исследования. 19
1.3.1 Оценка существующих ресурсов для решения задачи информационной безопасности. 19
1.3.2 Определение средств информационной безопасности для решения задачи исследования. 23
1.3.3 Определение уровня защиты информации для исследуемой задачи. 24
1.4 Анализ существующих разработок и выбор стратегии информационной безопасности. 26
1.4.1 Анализ существующих разработок для обеспечения информационной безопасности. 26
1.4.2 Обоснование способа приобретения систем информационной безопасности. 27
1.4.3 Обоснование стратегии обеспечения информационной безопасности. 28
Выводы по главе 1. 33
II Проектная часть. 34
2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия. 34
2.1.1. Отечественная и международная нормативно-правовая основа создания системы обеспечения информационной безопасности и защиты информации предприятия. 34
2.1.2. Организационно-административная основа создания системы обеспечения информационной безопасности и защиты информации предприятия. 37
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения информационной безопасности и защиты информации предприятия. 41
2.2.1. Основные сведения о внедряемых программно-аппаратных средствах обеспечения информационной безопасности. 41
2.3 Настройка внедренных средств защиты.. 57
2.3.1 Настройка средства защиты информации от несанкционированного доступа. 57
2.3.2 Настройка программного средства комплексной антивирусной защиты «Dr. Web Desktop Security Suite». 64
2.3.3 Настройка межсетевого экрана «РУБИКОН». 69
2.3.4 Настройка системы обнаружения вторжений «РУБИКОН». 75
Выводы по главе 2. 79
III Обоснование экономической эффективности проекта. 80
3.1 Выбор и обоснование методики расчёта экономической эффективности. 80
3.2 Расчёт показателей экономической эффективности проекта. 82
Выводы по главе 3. 87
Заключение. 88
Список использованных источников. 90
Актуальность темы защиты информации на предприятии определяется следующими факторами:
1. становлением «информационного общества»;
2. повсеместной компьютеризацией бизнес-процессов ООО «Строй Персонал»;
3. усилением влияния информационной безопасности на эффективность всех бизнес-процессов ООО «Строй Персонал»;
4. необходимостью перехода к проактивным методам защиты;
5. необходимостью применения комплексного подхода к обеспечению информационной безопасности (ИБ);
6. необходимостью стандартизации систем защиты на всех уровнях.
Сущность защиты информации можно определить через ее предметную область, которая определяет виды, направления и соответствующие им способы, цели и задачи защиты информации. Существуют следующие виды защиты информации: правовая, техническая, криптографическая, физическая. Целью защиты информации является заранее намеченный результат защиты информации. Результатом защиты информации может быть предотвращение ущерба обладателю информации из-за возможной утечки информации и несанкционированного и непреднамеренного воздействия на информацию. С учетом характеристик безопасности информации, понятий, используемых в законодательстве, определение «защиты информации» (в широком смысле) может быт сформулировано следующим образом: защита информации — деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на нее и включающая правовые, организационные и технические меры, обеспечивающие конфиденциальность, доступность и целостность защищаемой информации.
В настоящее время предприятия разрабатывают и утверждают маркетинговые, коммуникационные, бизнес-стратегии, но лишь малая часть предприятий разрабатывает стратегию информационной безопасности.
Подход к проблемам информационной безопасности необходимо начинать с выявления субъектов, заинтересованных в обеспечении: своевременного доступа к необходимому массиву информации; конфиденциальности определенной части информации; достоверности информации; защиты части информации от незаконного ее тиражирования; разграничения ответственности за нарушения законных прав других субъектов информационных отношений и установленных правил обращения с информацией; возможности осуществления непрерывного контроля и управления процессами обработки и передачи информации.
Предметом исследования являются процессы функционирования системы информационной безопасности на всем протяжении жизненного цикла предприятия.
В качестве объекта исследования выступают информационные системы, развернутые на предприятии.
Целью работы является анализ и обоснование выбора организационных и технологических решений по защите информации с целью повышения эффективности использования ресурсов предприятия, оптимизации контроля (мониторинга) параметров информационной безопасности.
Под информационной безопасностью понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.
Защита информации представляет собой комплекс мероприятий, направленных на обеспечение информационной безопасности.
Важное значение имеет поддерживающая инфраструктура, к которой относятся системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций, обслуживающий персонал.
Объектом защиты информации является информационная система. Под информационной системой понимается программно–аппаратный комплекс, предназначенный для автоматизированного сбора, хранения, обработки, передачи и получения информации.
Предметом защиты в информационных системах является информация или информационные ресурсы. Защищенность информации – такое состояние всех модулей информационной системы, при котором обеспечивается зашита от возможных угроз на требуемом уровне.
Целями обеспечения информационной безопасности являются
Доступность – свойство ресурса системы, заключающееся в том, что пользователь и/или процесс, имеющий соответствующие полномочия, может использовать ресурс в соответствии с правилами, установленными политикой безопасности, не ожидая заданного (малого) промежутка времени, т.е. когда он находится в необходимом пользователю виде, месте и нужное время.
Целостность – свойство информации, заключающееся в том, что информация не может быть подвергнута модификации неавторизованным пользователем и / или процессом.
Конфиденциальность – свойство информации, заключаемое в том, что информация не может быть получена неавторизованным пользователем и / или процессом.
Рисунок 1 – Основные компоненты информационной безопасности
Под угрозой информационной безопасности понимается потенциальная возможность нарушения информационной безопасности. На рис. 2 показана классификация угроз информационной безопасности.
Угрозы по компонентам информационных систем характеризуются распространением посредством людей (хищением носителей информации, чтение информации с экрана или наблюдение за нажатием клавиш клавиатуры, чтение распечаток), посредством программных средств (перехват паролей, копирование носителя, применение алгоритмов дешифровки информации). К угрозам по характеру воздействия делятся на случайные и преднамеренные, действия техногенного или природного воздействия. К случайным угрозам можно отнести аварийные ситуации вследствие природных катаклизмов, отказы и сбои аппаратного и программного обеспечения, ошибки персонала, помехи в линиях связи вследствие воздействия внешних факторов. К преднамеренным угрозам можно отнести угрозы, вызванные целенаправленными действиями злоумышленника, например, недовольство персонала, конкурентная борьба и пр.
Рисунок 2 – Классификация угроз ИБ
Угрозы по расположению источника угроз делятся на внешние и внутренние.
Угрозы по составляющим ИБ делятся на угрозы доступности информации, целостности и конфиденциальности. Примерами нарушения доступности являются блокирование и уничтожение актива, нарушения целостности - модификация актива, нарушения конфиденциальности - хищение информации, несанкционированное ознакомление и копирование.
Классификация основных методов осуществления информационной безопасности приведена на рис.3
К теоретическим методам относят формализацию процессов различного рода, связанных с обеспечением информационной безопасности (ИБ), строгое обоснование корректности и адекватности функционирования систем обеспечения ИБ при проведении анализа их защищенности.
К правовым методам относят создание нормативно-правовой базы для организации деятельности, связанной с работой с государственной тайной, защитой авторских прав, лицензированием и сертификацией.
Рисунок 3 - Систематика методов обеспечения информационной безопасности
К организационным методам относят развертывание систем контроля разграничения физического доступа, создание службы охраны, организацию видеонаблюдения за физическим периметром, разработку документов, регулирующих обеспечение ИБ.
К инженерно-техническим методам относят методы обеспечения ИБ при передаче данных по каналам связи.
К сервисам сетевой безопасности относят использование криптографии, хеширование, средства разграничения доступа, идентификацию и аутентификацию, протоколирование и аудит и пр.
Политика безопасности представляет собой набор целей для повышения информационной безопасности в компании, который включает в себя правила поведения для пользователей и администраторов и требования к системе. Эти цели, правила и требования в совокупности обеспечивают безопасность сетевой инфраструктуры, данных и компьютерных систем в организации.
Всесторонняя политика безопасности выполняет следующие задачи:
Политики безопасности информируют пользователей, сотрудников и руководителей о требованиях организации к защите технических средств и информационных ресурсов, определяет механизмы, использование которых обусловлено требованиями безопасности.
Политика безопасности обычно включают в себя:
Политику идентификации и аутентификации, которая определяет круг уполномоченных лиц, которым предоставлен доступ к ресурсам сетевой инфраструктуры, и описывает процедуры проверки.
Политику паролей, которая обеспечивает соответствие паролей минимальным требованиям и их регулярное изменение.
Политику приемлемого использования, которая определяет сетевые ресурсы организации и их приемлемое использование.
Политику удаленного доступа, которая указывает, как удаленные пользователи могут получить доступ к сетевой инфраструктуре и сетевые ресурсы, доступные удаленно.
Политику сетевого обслуживания, которая определяет процедуры обновления операционных систем сетевых устройств и приложений конечных пользователей.
Политику действий при инцидентах, которая описывает порядок действий при инцидентах информационной безопасности.
Применяемые на предприятии информационные системы используют стандартные технологии, например, операционные системы Microsoft, Linux, сеть Ethernet. Вследствие наличия в них большого количества уязвимостей, использование данных систем сопряжено с большими рисками.
В России самыми распространенными проблемами информационной безопасности являются проблемы, связанные с фишингом, вредоносным программным обеспечением (ПО), попытками несанкционированного проникновения в информационную систему, нежелательной корреспонденцией (спамом). Среди внутренних угроз наиболее серьезными являются уязвимости установленного ПО, а также попытки проникновения во внутреннюю сеть через мобильные устройства сотрудников.
Согласно исследованиям Лаборатории Касперского, не менее 30% компаний предоставляют мобильным устройствам сотрудников неограниченный доступ к внутренним ресурсам. Возрастает количество атак на ИТ – инфраструктуру компаний и организаций.
Рисунок 4 – Основные киберугрозы
Чаще всего IT-специалисты сталкиваются с различными уязвимостями в установленном программном обеспечении (49%).
Другими видами угроз, являются: утечка данных из-за неосторожных действий персонала - 39 %, потеря или кража мобильных устройств сотрудников - 19 %.
В 43 % случаев причиной утечки информации стало вредоносное ПО. Заметно возросло количество случаев потери критически важной для бизнеса информации — за последний год с этим столкнулись 25 % российских компаний (в прошлом году эта цифра составила 20 %). Большой процент инцидентов связан с потерей данных о сотрудниках, финансовой информации и данных о клиентах компании, что наносит серьезный удар по имиджу организаций.
На рисунке 5 представлена информация о типах потерянной в результате инцидентов информации.
Рисунок 5 – Типы утерянной информации
Для обеспечения информационной безопасности наиболее распространенной практикой является установка антивирусных программ, проведение регулярного обновления установленного программного обеспечения, шифрование данных, использование политик аварийного восстановления данных. Тем не менее, по данным исследования Лаборатории Касперского около 30% организаций не используют защиту от вредоносного ПО.
На рисунке 6 показаны наиболее популярные в России и мире меры, принимаемые для обеспечения информационной безопасности.
Рисунок 6 – Меры по обеспечению информационной безопасности
Как правило, созданию эффективной защиты мешают внутрикорпоративные проблемы. К ним относятся:
- непонимание руководством проблем информационной безопасности;
- ограниченный бюджет;
- Недостаточная квалификация персонала.
На рисунке 7 приведены основные факторы, препятствующие созданию эффективной системы защиты.
Рисунок 7 – Факторы, препятствующие созданию эффективной информационной защиты
Результаты сравнительного исследования возможностей обеспечения информационной безопасности, свидетельствуют о том, что в течение рабочего дня из-за различных ограничений специалисты по безопасности способны обрабатывать лишь 56 % поступающих сообщений об угрозах.
Среди обработанных оповещений об угрозах обоснованным признается каждое второе (28 %); реальные меры по нейтрализации угрозы принимаются лишь в отношении половины обоснованных оповещений (46 %). Кроме того, 44 % менеджеров по обеспечению безопасности ежедневно просматривают более 5000 оповещений об угрозах безопасности.
В 27 % случаев облачные приложения от сторонних поставщиков, внедренные в корпоративную среду сотрудниками, представляют высокий риск безопасности. Соединения по протоколу OAuth затрагивают корпоративную инфраструктуру и позволяют свободно обмениваться данными с корпоративным облаком и SaaS платформами, для чего достаточно получить от пользователя разрешение на доступ.
Инфраструктура 75 % компаний заражена рекламным ПО. Злоумышленники могут использовать такое заражение для последующей организации атаки.
Общими техническими требованиями к оборудованию предприятия являются следующие:
1. Локальная вычислительная сеть (ЛВС) развернута на всех этажах, серверное помещение расположено на первом этаже.
2. Средствами ЛВС оснащаются все рабочие места.
3. С любого рабочего места обеспечен выход в единую корпоративную систему, и, при необходимости, доступ в Интернет.
4. ЛВС обеспечивает функционирование всех программных комплексов, используемых на предприятии.
5. Сеть обеспечивает непрерывность обслуживания клиентов, пользующихся услугами.
6. Пропускная способность обеспечивает прохождение всех информационных потоков с учетом перспектив развития сети (100% резерв).
7. Трафик Internet максимально отделён от внутреннего трафика.
8. Предусмотрена защита оборудования от воздействия перепадов и скачков напряжения, время автономной работы от источников гарантированного питания оборудования для рабочих станций составляет не менее 30 минут, для серверов и активного оборудования – не менее 2 часов.
9. В ЛВС применены технические средства, имеющие среднее время безотказной работы оборудования ЛВС не менее To= 40000 часов, среднее время восстановления работоспособности - не более tв = 0,5 часа. Для всех данных обеспечено резервное копирование и возможность восстановления.
10.Сеть разработана с учетом норм структурированной кабельной сети. При прокладке кабеля использовались фальшполы и межэтажные слаботочные ниши, а открытые участка кабеля заизолированы и уложены в короб. Коммутационное оборудование размещено в монтажном шкафу.
Технические средства, обеспечивающие работу информационной системы:
Таблица 1 – Технические средства, обеспечивающие работу информационной системы ООО «Строй Персонал»
| Группа средств |
Средства |
Кол-во |
| Серверное оборудование |
Серверы |
12 |
| Стойка для монтирования оборудования 19'' |
2 |
|
| Источник бесперебойного питания |
8 |
|
| Рабочие станции |
Компьютеры для пользователей |
250 |
| Оборудование печати |
Черно-белый лазерный принтер |
50 |
| Цветной лазерный принтер |
10 |
|
| Другое оборудование |
Сканер |
20 |
| Устройство многофункциональное (принтер, сканер) |
30 |
|
| Графопостроитель барабанный |
6 |
|
| Источник бесперебойного питания |
250 |
В качестве рабочих станций используются компьютеры, имеющие следующие характеристики:
1. процессор Intel Pentium Dual Core G2020 (2.9 ГГц);
2. материнская плата Intel H61;
3. видеокарта 2 Гбайт;
4. оперативная память - 8 Гбайт;
5. жесткий диск – 1 Тб;
6. монитор с диагональю 21″.
В качестве серверов приобретены Dell Power Edge 2950III, имеющие следующие характеристики:
В качестве источников бесперебойного питания для серверного оборудования используются ИБП Eaton мощностью 3 кВт, для рабочих станций – Eaton series NV мощностью 800 ВА.
Рассмотрим ключевые информационные активы предприятия.
Активы (ресурсы) – это все, что имеет ценность или находит полезное применение для организации, ее деловых операций и обеспечения их непрерывности. Надлежащее управление и учет активов должны являться одной из основных обязанностей руководителей всех уровней [1]. К основным активам относятся информация, инфраструктура, персонал. Без инвентаризации активов на уровне служебной деятельности невозможно ответить на вопрос, что именно нужно защищать.
Были выявлены следующие потоки информации:
1) личные дела сотрудников;
2) информация по коммерческим сделкам;
3) данные о сооружениях и материальном обеспечении предприятия;
4) данные по приказам, распоряжениям, мероприятиям, распорядку предприятия «Стройперсонал»;
5) бухгалтерская и управленческая отчетность.
Перечень информационных активов, обязательное ограничение доступа, к которым регламентируется действующим законодательством РФ, сведены в таблицу
Таблица 2 – Перечень сведений конфиденциального характера
| № |
Наименование сведений |
Гриф конфиденциальности |
Нормативный документ, реквизиты, № статей |
| 1 |
Сведения, раскрывающие характеристики средств защиты ЛВС предприятия от несанкционированного доступа. |
Конфиденциально |
Устав предприятия «Стройперсонал» |
| 2 |
Требования по обеспечению сохранения служебной тайны сотрудниками предприятия. |
Конфиденциально |
Гражданский кодекс РФ ст. 1465 |
| 3 |
Персональные данные |
Конфиденциально |
Федеральный закон 152-ФЗ |
Результат ранжирования активов представляет собой интегрированную оценку степени важности актива для предприятия, взятую по десятибальной шкале и представленную в таблице 3.
Таблица 3 – Ранжирование активов ООО «Стройперсонал»
| Наименование актива |
Ценность актива (ранг) |
| Программное обеспечение |
7 |
| Информация о деятельности сотрудников |
8 |
| Компьютерные средства |
4 |
| Информационные услуги |
4 |
| Текстовые сообщения |
6 |
| Личные дела сотрудников |
9 |
| Переписка по почте |
9 |
| Информация о технике и технологиях |
10 |
| Данные о сооружениях и материальном обеспечении предприятия «Стройперсонал» |
6 |
| Расходные накладные |
5 |
| Данные по приказам, распоряжениям, мероприятиям, распорядку предприятия «Стройперсонал» |
7 |
| Инвентаризационная ведомость |
4 |
| Приходные накладные |
4 |
| Бухгалтерская и налоговая отчетность |
6 |
Таким образом, были выделены активы, имеющие наибольшую ценность: Личные дела сотрудников, переписка по почте, информация о технике и технологиях
Аппаратными средствами политики информационной безопасности являются:
- устройства ввода биометрических данных распознавания;
- устройства идентификации сотрудника;
- устройства кодирования информации;
- электронные замки и блокираторы, не дающие бесконтрольно включать рабочие станции.
К вспомогательным средствам защиты информации относятся:
- средства уничтожения магнитных носителей и информации на них;
- средства сигнализации, предупреждающие о несанкционированных действиях пользователей.
К программным средствам защиты информации относятся программы, входящие в состав программного обеспечения, необходимого для защиты данных. К данным средствам защиты информации возможно отнести:
- программы распознавания пользователей;
- программы определения зоны доступа к ресурсу;
- программы криптографической защиты информации;
- программное обеспечение: баз данных, компьютерных средств;
- программы, защищающие информацию от незаконного доступа и копирования
Идентификация пользователей в политике информационной безопасности понимается как 100% определение индивидуального и уникального имени пользователя, а аутентификация служит для того, чтобы определить 100% принадлежность пользователю представленного имени.
Как пример программ, помогающих в защите информации, могут выступать:
- программы удаления оставшейся информации (во временных файлах, оперативной памяти и т.д.);
- аудиторские программы событий, которые описывают произошедшие угрозы, журналы регистрации событий, которые могут представляться как доказательство произошедших угроз;
- программы, создающие возможные события, при которых осуществляется имитация работы с нарушителем; программы тестирования защищенности.
Реализованы следующие физические меры по защите информации на предприятии относятся:
- организация контроля доступа персонала, транспорта и пр. техники;
- организация защитного периметра вокруг предприятия;
- оснащение сейфами и замками помещений;
- опечатывание помещений личными печатями, сдача ключей на охрану.
К организационным мерам относятся, внедренных на предприятии:
- правила внутреннего трудового распорядка, регламентирующие порядок и время входа и выхода персонала, провоз и пронос вещей;
- запрет на использование телефонов с камерами на территории предприятия
- запрет на использование WiFi на территории предприятия;
- назначение выделенного администратора информационной безопасности и определение круга его обязанностей в составе службы безопасности предприятия;
- запрет на использование незарегистрированных флэшносителей;
- периодические проверки компьютеров пользователей на предмет использования незарегистрированных флэш-носителей с ведением журнала проверок;
- определение перечня конфиденциальной информации и внесение положений о ее сохранности в обязанности сотрудников;
- наличие правил пользования сотрудниками Интернетом, положения об архивировании и восстановлении данных, правила создания паролей, правила работы за компьютером и пр.
К техническим средствам защиты информации относятся:
- cистема контроля и управления доступом;
- единая система авторизации и аутентификации на основе Active Directory;
- корпоративная почтовая система;
Электронные и электронно-механические устройства, входящие в состав технических средств охраны, являются аппаратными средствами обеспечения информационной безопасности. Аппаратные средства, работающие вместе с программными средствами или самостоятельно, выполняют задачи необходимые для построения информационной безопасности. Электронные и электронно-механические устройства являются аппаратными средствами обеспечения информационной безопасности. а не инженерно-техническими средствами, если они в обязательном порядке входят в состав технических средств политики информационной безопасности.
Для защиты локальной вычислительной сети необходимо пользователей разделить на группы с соответствующими правами:
1. Administrator – администраторы сети (создание и управление политиками информационной безопасности, глобальные настройки сети и т.д.)
2. Manager – учётные запись для повседневного обслуживания информационно-вычислительной техники.
3. User – учётная запись стандартного пользователя (сотрудника компании) с ограниченными правами
4. Security – ограниченная учёная запись (в случае необходимости доступа не сотрудников организации).
Для идентификации пользователя требуется ActiveDirectory на базе сетевой операционной системы, где для каждого пользователя должна быть создана уникальная запись, и каждая запись была включена в соответствующую группу.
Для снижения уязвимости программных средств было решено оценить степень подготовки операционных систем. Для этого необходимо принять следующие меры:
1. Произведена замена устаревших операционных систем на новые операционные системы;
2. Там, где замена операционных систем нецелесообразна, произведено обновление существующих операционных систем путём установки сервис - паков последних версий.
Для повышения качества антивирусной защиты было принято решение внедрить более совершенный антивирус. Контроль интернет - трафика будет осуществляться при помощи прокси-сервера, который одновременно будет служить и фаерволом.
Можно сделать вывод, что по отдельности программный комплекс и аппаратный комплекс мало эффективны, поэтому необходимо два этих рычага защиты информации использовать вместе, тем самым получив программно-аппаратный комплекс. Поэтому считаю необходимым рассмотреть структуру программно-аппаратного комплекса, используемого для обеспечения информационной безопасности данных в организации
Для разработки систем информационной безопасности планируется приобрести следующий перечень оборудования:
-Заполним после написания практической главы
Средства обеспечения информационной безопасности планируется приобрести за счет собственных средств ООО «Строй Персонал».
Стратегия обеспечения информационной безопасности предприятия должна базироваться на политике безопасности предприятия.
Политика информационной безопасности предприятия представлена комплексом документов, позволяющих отразить требования к обеспечению защиты данных и основные направления предприятия по обеспечению безопасности. При создании политики безопасности можно выделить три основных уровня: верхний, средний и нижний.
Верхний уровень политики безопасности данных организации позволяет:
- сформулировать и демонстрировать отношение администрации предприятия к системе защиты информации и отразить основные цели и задачи в данной области;
- разработать индивидуальные политики безопасности, инструкции и правила, с помощью которых регулируются отдельные вопросы;
- информировать сотрудников организации про основные задачи и приоритеты в области информационной безопасности.
Политика информационной безопасности среднего уровня служит для отражения отношений и требований предприятия к:
- использованию информационных систем;
- телекоммуникационных и информационных технологий, методов и подходов к обработке информации;
- участникам процессов обработки информации, от которых зависит обеспечение защиты информации на предприятии.
Нижний уровень политики безопасности служит для описания определенных процедур и документов для обеспечения информационной безопасности на предприятии.
Этапы разработки политики безопасности в организации включают:
- выполнение оценки личного отношения к угрозам безопасности со стороны собственников и сотрудников предприятия;
- проведение анализа потенциально важных информационных активов предприятия;
При создании политики безопасностей всех уровней нужно придерживаться того, что разработанная политика безопасности на нижнем уровне должна соответствовать политике безопасности, приведенной на верхнем уровне. При этом в тексте политики безопасности должны быть приведены правила, не имеющие двойной смысл и он должен быть достаточно понятным для сотрудников предприятия. Важное значение для защиты информации в компании имеет политика безопасности, представленная в виде логически и семантически связанных, формируемых и анализируемых структур данных, используемых для защиты информации на всех уровнях функционирования предприятия.
Рассмотрим основные составляющие политики информационной безопасности предприятия. Под защитой в данном случае подразумевается использование приведенных в политике безопасности предприятия организационных мероприятий защиты информации. С помощью политики информационной безопасности на предприятиях выполняют внешний и внутренний аудит защиты данных, результаты которого используются для определения уровня эффективности, используемых методов и средств защиты. В свою очередь улучшение выступает в виде подстройки мероприятий политики безопасности с использованием полученных результатов проведения тестирования и мониторинга. Политика безопасности в процессе функционирования предприятия должна постоянно обновляться. При этом внесенные изменения подлежат постоянному сравнению с теми методами и средствами, которые уже используются. Основные составляющие политики информационной безопасности предприятия можно представить в виде схемы, приведенной на рисунке 8.
Как видно из рисунка 8 в политике информационной безопасности отражаются взаимосвязанные этапы организации информационной безопасности предприятия, которые представлены процедурами, позволяющими систематизировать и эффективно решать поставленные задачи для того, чтобы достичь требуемый уровень защиты данных.
Рисунок 8 - Основные составляющие политики информационной безопасности предприятия
На первом этапе необходимо определить границы, в рамках которых будет функционировать политика информационной безопасности предприятия, задаться критериями для оценки результатов.
На этапе анализа рисков информационной безопасности описывается состав и определяются приоритеты выбранных средств защиты с распределением их по степени важности для предприятия, идентифицируются уязвимости активов предприятия и определяться ущерб. Результаты анализа рисков информационной безопасности предприятия будут применяться в виде основы для планирования работы системы информационной безопасности, выбора наиболее эффективной стратегии и тактики.
Для повышения эффективности политики безопасности применяются такие приемы как групповое определение объектов безопасности, косвенное определение с использованием верительных атрибутов и мандатное управление доступом. Многие предприятия используют глобальную и локальную политики безопасности, основанные на принципах управления безопасностью информации. Глобальная политика информационной безопасности направлена на обеспечение защиты информации на уровне бизнес-процессов компании, а локальная политика формируется на уровне защиты данных предприятия.
В глобальной политике безопасности компании правила функционально разбиваются на следующие группы:
- правила VPN, которые реализованы с использованием протоколов IPSec. В качестве агента исполнения данных правил выступает драйвер VPN, установленный в стеках клиентских устройств или шлюзах безопасности;
- правила пакетной фильтрации, позволяющие обеспечить фильтрацию пакетов типов stateless и stateful;
- прокси - правила, с включением антивирусной защиты, которые отвечают за фильтрацию трафика, который передается через прикладные протоколы. В данном случае в качестве исполнительного агента выступает прокси-агент;
- правила авторизованного доступа, с применением правил однократного входа, позволяющие обеспечить работу пользователей по паролям. Данные правила выполняются агентами различных уровней от VPN-драйвера до прокси-агентов. В качестве агентов выполнения таких правил защиты информации выступают системы авторизации;
- правила, которые отвечают за протоколирование событий, уязвимостей в системе защиты информации. В компании политика ведения журналов событий выполняется агентом протоколирования, а в качестве исполнителей выступает полностью вся информационная система.
С помощью локальной политики безопасности предприятия выполняется настройка средств защиты информации и реплицируются настройки для узлов с выполнением их последующей корректировки. В целом в локальной политике безопасности предприятия размещены правила с помощью которых регламентируются соединения, меняются настройки используемых сетевых устройств.
В Российской Федерации к нормативно-правовым актам в области информационной безопасности относятся:
Акты федерального законодательства:
1) Конституция РФ;
2) Законы федерального уровня (включая федеральные конституционные законы, кодексы);
3) Указы Президента РФ;
4) Постановления правительства РФ;
5) Нормативные правовые акты федеральных министерств и ведомств;
6) Нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.
К нормативно-методическим документам можно отнести
1. Методические документы государственных органов России:
1) Доктрина информационной безопасности РФ;
2) Руководящие документы ФСТЭК;
3) Приказы ФСБ;
2. Стандарты информационной безопасности, из которых выделяют:
1) Международные стандарты;
2) Государственные (национальные) стандарты РФ;
3) Рекомендации по стандартизации;
4) Методические указания.
сотрудниками (6%).
Согласно Доктрине информационной безопасности, основными направлениями обеспечения информационной безопасности в области государственной и общественной безопасности являются в том числе «повышение защищенности критической информационной инфраструктуры и устойчивости ее функционирования, развитие механизмов обнаружения и предупреждения информационных угроз и ликвидации последствий их проявления, повышение защищенности граждан и территорий от последствий чрезвычайных ситуаций, вызванных информационно-техническим воздействием на объекты критической информационной инфраструктуры», что является непосредственными задачами федеральной службы по техническому и экспортному контролю (ФСТЭК) в части технической защиты информации [4].
Каждый год средства массовой информации публикуют все больше сообщений о кибератаках на объекты критической информационной структуры коммерческих компаний и государственных организаций. В ответ на угрозы было решено спроектировать и ввести в эксплуатацию государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).
В 2013 г. Указом президента РФ от 15.01.2013 г. № 31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации» [1] было постановлено возложить на Федеральную службу безопасности полномочия органа исполнительной власти по созданию системы ГосСОПКА.
Следующим шагом было утверждение Концепции № К 1274 12 декабря 2014 г. [2], в которой более конкретно определяются виды обеспечения, необходимые для ее создания и функционирования. В концепции был увеличен перечень осуществляемых системой функций, а также ее территориальная и отраслевая организация. В составе системы также функционирует Национальный координационный центр по компьютерным инцидентам (НКЦКИ), созданный в ФСБ.
12 июля 2017 г. Государственная дума приняла во втором чтении Закон «О безопасности критической информационной инфраструктуры» [3]. Он вступает в силу с 1 января 2018 г. Настоящий федеральный закон регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации «в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак», — говорится в документе. В нем описана система, представляющая собой единый территориально распределенный комплекс, включающий силы и средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты. Основные функции системы состоят в том, что она должна представлять собой совокупность отечественных программно-технических средств с максимальным уровнем защиты, сформировать единое информационное пространство, позволяющее осуществлять оперативный контроль и защиту объектов критической инфраструктуры (атомные и гидроэлектростанции, системы снабжения городов и спецхранилища Росрезерва и т. д.).
ГосСОПКА будет проводить мониторинг электронных ресурсов, выявлять и прогнозировать возникновение угроз, а также совершенствовать существующие системы безопасности, взаимодействуя в том числе с операторами связи и интернет провайдерами.
Так, согласно нормативным документам, определяющим создание и развитие системы, в сферу регулирования ФСТЭК будут входить задачи по защите от атак отдельных информационных систем, надзор за выполнением требований, определение набора средств защиты в составе информационных систем.
После утверждения законов и переходя к практике создания системы ГосСОПКА по указу президента № 31 ФСБ начала разработку собственного программного обеспечения, нацеленного на обнаружение и предупреждение компьютерных атак [5]. Для отладки разработанного программного обеспечения ФСБ запросила у объектов критической структуры образцы их трафика за определенное время. На этих образцах будет проводиться проверка компетентности функционирования разработанного программного обеспечения. Его функция состоит в анализе трафика на предмет сигнатур вредоносных программ и дальнейшее информирование ФСБ и работников критически важных объектов о возможных угрозах и способах их устранения.
К январю 2018 г. ФСБ ввело данное программное обеспечение в эксплуатацию на выбранных объектах критической структуры. Для этого объекты обязаны приобрести специальную компьютерную технику, обладающую необходимой производительной мощностью для обработки используемого трафика. Далее каждый критически важный объект должен купить лицензию на использование разработанного ФСБ программного обеспечения и установить его на приобретенной компьютерной технике.
К организационно-административным мероприятиям защиты информации относятся:
- выделение специальных защищенных помещений для размещения ЭВМ и средств связи и хранения носителей информации;
- выделение специальных ЭВМ для обработки конфиденциальной информации;
- организация хранения конфиденциальной информации на специальных промаркированных магнитных носителях;
- использование в работе с конфиденциальной информацией технических и программных средств, имеющих сертификат защищенности и установленных в аттестованных помещениях;
- организация специального делопроизводства для конфиденциальной информации, устанавливающего порядок подготовки, использования, хранения, уничтожения и учета документированной информации;
- организация регламентированного доступа пользователей к работе на ЭВМ, средствам связи и к хранилищам носителей конфиденциальной информации;
- установление запрета на использование открытых каналов связи для передачи конфиденциальной информации;
- разработка и внедрение специальных нормативно-правовых и распорядительных документов по организации защиты конфиденциальной информации, которые регламентируют деятельность всех звеньев объекта защиты в процессе обработки, хранения, передачи и использования информации;
- постоянный контроль за соблюдением установленных требований по защите информации.
Защита конфиденциальной информации предполагает выбор различных мер. По статистике, нарушения информационной безопасности совершаются, в основном, работниками учреждения (81%) или бывшими его
Рисунок 9 – Соотношение нарушений информации, произведенных разными группами лиц
Таким образом, около 80% всех преступлений в сфере нарушения конфиденциальной информации совершается либо сотрудниками организации, либо с их помощью, а иногда и в следствие халатности и невнимательности работников. Именно поэтому очень важным направлением обеспечения защиты конфиденциальной информации является административная информационная безопасность, которая обеспечивается за счет применения организационных мер. Организационные меры предполагают внедрение безопасных способов ведения документации, применение методов разработки, внедрения и тестирования прикладных программных средств, а также процедур обработки инцидентов в случаях нарушения систем безопасности. Обеспечение административной составляющей информационной безопасности предполагает также выбор определенной стратегии защиты информации в компании.
На основе анализа существующей системы безопасности было принято решение реализовать такие административные меры безопасности:
1) Разработать и утвердить приказом по предприятию:
- положение о защите сведений, содержащих коммерческую тайну, и другой информации ограниченного пользования, определённые законодательством РФ;
- инструкцию по правилам работы со сведениями, содержащими коммерческую тайну;
- инструкцию по делопроизводству с документами ограниченного пользования.
2) Издать приказ по предприятию, в котором:
- на руководителей подразделений возложить обязанность проведения мероприятий, направленных на обеспечение сохранности коммерческой тайны;
- определить меры административного наказания за нарушение правил работы с документами и сведениями, содержащими коммерческую тайну;
- на службу безопасности возложить обязанность по выявлению возможных нарушений, в результате которых возможна утечка охраняемых сведений
3) Ввести запрет на хранение личной информации на компьютере.
4) Установить правила копирования документов, исключающих изготовление копий важных документов без санкции руководителя.
5) От работников, по должности обладающих сведениями коммерческой тайны, при заключении трудового договора брать письменные обязательства о неразглашении. В случае увольнения работника, требовать от него передачи всех носителей информации, составляющих коммерческую тайну, которые находились в его распоряжении.
6) Изготовить выписки, содержащие выдержки из положения о конфиденциальной информации для использования работниками в повседневной деятельности;
7) Разработать журнал учета персональной информации;
8) Разработать правила работы с электронной почтой.
9) При включении компьютера перед вводом пароля программным способом выдавать пользователю сообщение, напоминающее пользователю о правилах работы с компьютером.
Организационно-административные меры защиты информации позволят избежать части непреднамеренных угроз, а также преднамеренных угроз безопасности информации со стороны работников предприятия. Кроме того, жесткий регламент обращения с информационными ресурсами дисциплинирует коллектив, приучает их более внимательно работать с данными и относиться к ней как к ценному ресурсу.
Комплекс «Рубикон»
Выполняет функции межсетевого экрана (МЭ), системы обнаружения вторжений(СОВ), криптошлюза и однонаправленного шлюза. Предназначен для использования в информационных системах, обрабатывающих информацию любой категории до «Совершенно Секретно» включительно.
Цена: 70 000 – 120 000 руб.
ViPNet Coordinator HW1000 v2
ViPNet Coordinator HW1000 построен на базе ПО ViPNet Coordinator Linux и выполняет в ViPNet-сети функции ПО ViPNet Coordinator, включая функцию VPN-сервера для доступа удаленных VPN-клиентов, оснащенных ПО ViPNet Client и сервера почтовой программы ViPNet Деловая почта.
Цена: 100 000 – 150 000 руб.
TrustAccess
Предназначен для защиты серверов и рабочих станций локальной сети от несанкционированного доступа, разграничения сетевого доступа к сетевым ресурсам на основе уровней допуска или должностей пользователей. Аутентификация сетевых соединений; фильтрация сетевых соединений; защита сетевых соединений; централизованный сбор и отображение данных аудита, связанных с информационной безопасностью; контроль целостности и защита от НСД компонентов СЗИ; централизованное
управление; отчеты по событиям аудита
Цена: 1 650/15 400 руб.
Cisco ASA (Adaptive Security Appliance)
Обеспечение безопасности; поддержка двух сетей VPN для связи между офисами и партнерами, с расширением до 25 (ASA 5505) или 750 (ASA 5520) сотрудников; поддержка от 5 (ASA 5505) до 250 (ASA 5550) пользователей локальной сети из любой точки; множество вариантов высокоскоростных сетевых соединений, в зависимости от потребностей в производительности; заранее настроенные пакеты для упрощения заказа и настройки.
Цена: 150 000 – 200 000 руб.
Требованиям, предъявляемым к СЗИ от НСД, соответствует следующая продукция:
Secret Net
Защита информации на рабочих станциях и серверах в соответствии с требованиями регулирующих органов; контроль утечек и каналов распространения защищаемой информации.
Аутентификация пользователей, разграничение доступа пользователей к информации и ресурсам автоматизированной системы, доверенная информационная среда, контроль утечек и каналов распространения конфиденциальной информации, контроль устройств компьютера и отчуждаемых носителей информации на основе централизованных политик, исключающих утечки конфиденциальной информации, централизованное управление системой защиты, оперативный мониторинг и аудит безопасности, защита терминальной инфраструктуры и поддержка технологий виртуализации рабочих столов (VDI).
Цена: 7 920 руб.
Dallas Lock 8.0-K
Сертифицированная система защиты информации, работающая на автономных АРМ и в сложных сетевых инфраструктурах.
Предназначена для защиты конфиденциальной информации, в том числе содержащейся в государственных информационных системах (ГИС), информационных системах персональных данных (ИСПДн), а также для защиты информации, содержащей сведения, составляющие государственную тайну до уровня «совершенно секретно» включительно.
Выполняет идентификацию и аутентификация в информационной системе, управление доступом к компонентам информационной системы и информационным ресурсам, ограничение программной среды, регистрация событий безопасности в информационной системе, обеспечение целостности информационной системы и информации.
Цена: 5 800-7 500 руб.
«Аура 1.2.4»
Выполняется усиленная аутентификация, контроль доступа к устройствам, файлам и папкам, управление печатью, автоматическая маркировка и учет документов, достоверное уничтожение информационных объектов, регистрация действий пользователя в системных журналах, блокировка консолей с помощью электронных ключей Rutoken, eToken и флеш-накопителей.
Цена: 7 000 руб.
Требованиям, предъявляемым к средству анализа защищенности, соответствуют следующая продукция:
Сканер-ВС
Загрузочный DVD или USB-накопитель с операционной системой и предустановленным программным обеспечением для комплексного тестирования защищенности информационных систем.
Использование системы позволяет выполнить требования многочисленных нормативных документов, определяющих необходимость проведения контроля эффективности средств защиты информации (Постановление Правительства РФ 2007 г. №1119, приказ ФСТЭК России
№21 от 18 февраля 2013 года, Руководящий документ Гостехкомисcии России “Концепция защиты СВТ и АС от НСД к информации”).
Цена: 700 – 1 000 руб.
XSpider
Полная идентификация сервисов на случайных портах; эвристический метод определения типов и имен серверов (HTTP, FTP, SMTP, POP3, DNS, SSH) вне зависимости от их ответа на стандартные запросы; обработка RPC- сервисов (Windows и *nix) с их полной идентификацией; проверка слабости парольной защиты; глубокий анализ контента WEB-сайтов; анализатор структуры HTTP-серверов; проведение проверок на нестандартные DoS- атаки; специальные механизмы, уменьшающие вероятность ложных срабатываний; ежедневное добавление новых уязвимостей и проверок
Цена: 800 – 1 100 руб.
MaxPatrol
Защита ресурсов организации с помощью автоматического мониторинга ИБ; автоматизирование процессов контроля соответствия стандартам; оценка эффективности подразделений ИТ и ИБ с помощью расширенного набора метрик безопасности и KPI; понижение затрат на контроль защищенности и аудит, подготовку ИТ и ИБ проектов; автоматизирование процессов описи ресурсов, управления уязвимостями, контроля соответствия политикам безопасности и контроля изменений; встроенная поддержка основных стандартов, таких как ГОСТ ИСО/МЭК 17799, ГОСТ ИСО/МЭК 27001, SOX, PCI DSS, NSA, NIST, CIS;
Максимальное автоматизирование процессов снижает трудозатраты и позволяет оперативно контролировать состояние защищенности систем. [2]
Цена: 1 500 – 2 000 руб.
Требованиям, предъявляемым к программному средству антивирусной защиты, соответствуют продукты:
Dr. Web Desktop Security Suite (Комплексная защита)
Обеспечивает надежную защиту от большинства существующих угроз. Непревзойденное качество лечения и высокий уровень самозащиты не дают шанса вирусам и другим вредоносным объектам проникнуть в защищаемую сеть. Наличие встроенного брандмауэра и функции Офисного контроля преграждает путь вирусам через уязвимости ОС и программ и обеспечивает надежный контроль за работой установленных приложений
Цена: 715 руб.
Kaspersky Endpoint Security для бизнеса (стандартный)
IT-безопасность рабочих станций и файловых серверов; инструменты контроля рабочих мест; контроль и защита мобильных устройств; централизованное управление системой защиты.
Цена: 1 600 – 2 500 руб.
Sercurity Studio Endpoint Protection
Комплексное решение осуществляет антивирусную защиту, есть средство обнаружения вторжений, веб-контроль, наличие антиспама и межсетевого экрана. Для АРМ и серверов Windows систем.
Цена: 2 600 – 2 900 руб.
Подсистемы защиты информации
СЗИ, создаваемая в процессе работы, должна содержать подсистемы защиты информации.
Назначение и основные характеристики подсистем указаны в Табл.8.
Табл.8 – Назначение и основные характеристики подсистем
| № п/п |
Название подсистемы |
Назначение подсистемы |
Основные характеристики |
|
1 |
Подсистема защиты информации от НСД |
Защита серверов и рабочих станций от НСД |
Должна состоять из следующих функциональных компонентов: управления доступом; регистрации и учета; обеспечения целостности. |
|
2 |
Подсистема антивирусной защиты |
Защита от программно- математического воздействия, вредоносного ПО |
Должна обеспечиваться антивирусная защита всех АРМ и серверов. Должно быть обеспечено обновление базы данных признаков вредоносных компьютерных программ (вирусов). Должно быть обеспечено |
RUB
UAH
USD