Политика информационной безопасности для ИС Учет и графическое представление основных объектов и 2

МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ

УХТИНСКИЙ ГОСУДАРСТВЕННЫЙ ТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ

КАФЕДРА ИСБ

КУРСОВАЯ РАБОТА

на тему: «Политика информационной безопасности для ИС «Учет и графическое представление основных объектов и устройств МГ и ГРС
»

Выполнила:

студентка группы ИС-2-00

Шульц О.В.

Проверила: Некучаева Н.А.

УХТА 2008

СОДЕРЖАНИЕ

ВВЕДЕНИЕ.

1. Концепция

2. Стандарты

2.1. Структурная схема ЛВС

2.2. Информационные ресурсы (классификация объектов)

2.3. Пользователи ИС (классификация субъектов)

2.4. Класс безопасности

2.5. АО и ПО

3. Управление рисками. Экономический аспект

4. Процедуры информационной безопасности

4.1 Законодательные меры (применимые к ИС)

4.2 Административные меры (принятые на ООО «КРГ»)

4.3 Процедурные меры

4.3.1 Управление персоналом. ОРМ

4.3.2 Разделение полномочий

4.3.3 Физическая защита

4.3.4 Поддержка работоспособности системы

4.4 Программно-технические меры

5. Методы информационной безопасности. Классификация угроз. Способы защиты

6. Аварийный план

ПРИЛОЖЕНИЯ

ВВЕДЕНИЕ

На практике под информационной безопасностью систем понимается поддержание физической сохранности, целостности, доступности, конфиденциальности, достоверности и своевременности информации, а также гарантированной работоспособности средств, используемых для ввода, хранения, обработки и передачи данных.

Проблема обеспечения информационной безопасности носит комплексный характер, для ее решения необходимо сочетание законодательных, административных, организационных и программно-технических мер.

Таким образом, политика информационной безопасности предприятия – это набор формальных (официально утвержденных либо традиционно сложившихся) правил, которые регламентируют функционирование механизма информационной безопасности. Политика безопасности предприятия обеспечивается выбранным классом безопасности систем и набором организационно-распорядительных мероприятий. Следовательно, создание политики безопасности является одним из первых требований к организации как информационной безопасности предприятия в целом, так и в отдельности каждой системы, функционирующей на предприятии. Это обусловлено тем, что в настоящее время повсеместно используются электронные средства связи, процветает электронное подслушивание, хакерство, электронное мошенничество, шпионаж и т.д.

Поэтому основной целью курсового проекта является разработка политики информационной безопасности по ИС «Учет основных устройств и объектов магистрального газопровода и газораспределительной сети, задействованных в производственном процессе поставки газа потребителям» для оперативно-диспетчерской службы предприятия ООО «Комирегионгаз», и как следствие - информации и файлов, связанных с данной системой.

Разрабатываемая система предназначена для автоматизации учета и графического представления основных газотранспортных объектов (газоконденсатных месторождений, УКПГ, КС, ГРС, ГРО, Потребителей и т.д.) и устройств (датчиков/измерительных приборов, насосов, котельных, МАУ, ГОУ и т.д.) МГ и ГРС. Система предназначена для работников оперативно-диспетчерской службы предприятия и начальника службы.

Основные этапы разработки политики информационной безопасности следует проводить по следующим направлениям:

1. Рассмотрение законодательных мер;

2. Принятие административных мер на предприятии;

3. Принятие процедурных мер, а также проведение ОРМ;

4. Принятие программно-технических мер.

В работе также приводятся потенциальные угрозы безопасности данных, обрабатываемых и хранящихся в системе, и рекомендуемые способы защиты этих данных.

1. Концепция

Безопасность информации – это состояние информации, информационных ресурсов и информационных систем, при котором с требуемой вероятностью обеспечивается защита информации (данных) от утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), копирования, блокирования информации и т.п.

Очень важным является создание политики информационной безопасности для создаваемой информационной системы с учетом уже функционирующих объектов информационного пространства организации и самой информационной сети, включая аппаратное, программное и сетевое обеспечение. Это связано с тем, что при внедрении системы в эксплуатацию, нельзя допустить нарушения созданного и поддерживаемого в организации уровня информационной защиты и, безусловно, необходимо обеспечить защиту информации для создаваемой ИС.

Поэтому была принята правовая основа политики, так как законодательный уровень предполагает разработку и внедрение в практику законодательных, подзаконных и прочих нормативных актов, регламентирующих вопросы информационной безопасности в автоматизированных системах на государственном уровне.

Организационный (управленческий) уровень предполагает разработку и контроль исполнения комплексов мер по поддержанию режима информационной безопасности конкретных автоматизированных систем. Основной задачей организационного уровня обеспечения информационной безопасности является выработка комплексной политики безопасности, организация ее эффективной реализации на объектах автоматизации. Применительно к персоналу, работающему с автоматизированными системами, политика безопасности должна обязательно содержать комплексы внутренних нормативных, организационных и операционных регуляторов, включающих в себя методы подбора и расстановки кадров, их подготовки и повышения квалификации, обеспечения дисциплины. Организационный уровень в обязательном порядке должен включать в себя меры по физической защите помещений и оборудования от угроз различной природы, а также некоторые другие.

Для поддержания режима информационной безопасности особенно важными являются программно-технические меры, основу которых составляют комплексы мероприятий по обеспечению физической сохранности данных, контролю достоверности обработки информации, защите данных от несанкционированного доступа и использования, регистрация наиболее важных с точки зрения информационной безопасности событий с целью выявления источников угрозы и т.п.

Необходимая достоверность, сохранность и защищенность информации достигается разработкой и использованием различных механизмов обеспечения достоверности и защиты при обработке данных.

Краткое описание создаваемой ИС (назначение, цели)

В рамках курсового проекта рассматривается безопасность информационной системы «Учет основных устройств и объектов МГ и ГРС». Разрабатываемая система предназначена для автоматизации учета и графического представления основных газотранспортных объектов и устройств магистрального газопровода и газораспределительной сети на местности. Целью разработки данной системы является информационное обеспечение сотрудников ОДС при принятии обоснованных объективных решений в производственном процессе реализации газа потребителям, а также устранение системных недостатков функционирующей на данный момент в диспетчерском отделе АИС «ОДС».

Цели информационной безопасности системы:

Создание безопасного информационного пространства для функционирования ИС, как самостоятельно, так и в сотрудничестве с другими системами (в частности, ПК «Реализация газа»);

Совершенствование информационного пространства системы в сфере действия информационной безопасности предприятия.

Задачи информационной безопасности системы:

Рассмотрение законодательных мер;

Принятие административных мер на предприятии;

Применение процедурных мер, проведение организационно-распорядительных мероприятий;

Применение программно-технических мер.

Следует также отметить и перспективы развития информационной безопасности данного проекта в будущем, поскольку развитие компьютерных и сетевых технологий не стоит на месте, а вместе с тем возрастают навыки и ухищрения злоумышленников, то есть возникает возможность появления «слабых мест» в информационной безопасности.

В виду того, что при создании проекта по созданию политики безопасности разрабатываемой ИС, могут быть рассмотрены аспекты, не предусмотренные или ранее не находившие применение в организации, то можно говорить и о перспективе развития политики безопасности ООО «КРГ» в целом.

2. Стандарты

2.1. Структурная схема ЛВС

В настоящий момент ЛВС ООО "Комирегионгаз" построена на базе одного промышленного сервера, маршрутизатора Cisco 3640 и 3-х коммутаторов Catalyst 3100. Общая пропуская способность сети составляет 10/100 Мбит/с и позволяет осуществлять полноценную загрузку сервера и использовать современное ПО.

В ЛВС включено около 40 рабочих станций и 6 сетевых принтеров. На рисунке приведены только интересующие в рамках создаваемой ИС рабочие станции и принтер. Внутри ООО "КРГ" организована и функционирует электронная почта с представительствами в различных городах (филиалами) и Компанией.

В магистрали ЛВС организован один (центральный) узел коммутации. В указанном узле ЛВС установлены три соединенных между собой коммутатора Catalyst 3100, которые образуют тем самым единый центральный коммутатор. Коммутатор Catalyst 3100 - это 24-портовый коммутатор ЛВС, обеспечивающий многоуровневую функциональность. Данный коммутатор обеспечивают поддержку таких функций, как формирование виртуальных локальных сетей (VLAN), сервисы АТМ, возможность контроля за устройством и сетью посредством RMON. Catalyst 3100 имеет 24 фиксированных порта Ethernet 10Base-T и один флекс-слот, который может быть использован для установки модуля, осуществляющего доступ к глобальным сетям, либо любого модуля, поддерживаемого коммутаторами серии Catalyst 3000.

Сетевые станции (персональные компьютеры, сетевые принтеры) подключаются к сети по каналам Ethernet. При этом каждая станция подключается непосредственно к одному из портов Ethernet-коммутатора.

К коммутатору 1 подключается сервер баз данных.

К одному из портов Ethernet коммутатора 2 подключается многопротокольный модульный маршрутизатор Cisco 3640. В его конструктив установлен модуль с интерфейсами Ethernet - два порта (Интерфейсы Ethernet предназначены для подключения к ЛВС организации) и два порта с последовательными интерфейсами. Управляется с помощью универсального программного обеспечения Cisco IOS, которое поддерживает протоколы локальных и глобальных сетей, оптимизирует работу с глобальными сетями, контролирует межсетевой доступ и возможность осуществления маршрутизации между VLAN-ами и управление потоками трафика. Имеется поддержка PPP как для входящих (dialin), так и для исходящих (dialout) соединений. Также в программное обеспечение, поставляемое вместе с маршрутизатором, добавлена опция обеспечения безопасности данных, передаваемых по WAN - интерфейсам. В настоящее время обеспечивается безопасность данных, передаваемых по протоколу IP.

Для осуществления мониторинга сети используется SNMP-адаптеры, подключенные к SuperStack II PS Hub. Повторитель в свою очередь подключен к каждому из коммутаторов и маршрутизатору. Мониторинг осуществляется по протоколу SNMP.

2.2. Информационные ресурсы (классификация объектов)

Данные, с которыми работают сотрудники организации ООО «КРГ», относятся к конфиденциальным, поскольку несут действительную коммерческую ценность в силу неизвестности и не владения ею третьими лицами. Ниже перечислены все данные, которые будут создаваться, использоваться и храниться в разрабатываемой системе.

Общая информация по основным объектам МГ и ГРС (адрес, управленческий состав на объекте, телефоны);

Информация по техническим характеристикам основных объектов МГ и ГРС;

Информация по техническим характеристикам основных устройств МГ и ГРС;

Информация по событиям (авариям/ремонтным работам);

Графическое представление объектов и устройств МГ и ГРС в виде схем различного типа (хранятся в файлах):

5.1 Общая схема подключения основных объектов и устройств МГ;

5.2 Схемы узлов подключения газа (по различным объектам, расположенным на общей схеме МГ, за исключением тех, для которых предусматриваются специализированные схемы);

5.3 Схемы месторождений;

5.4 Технологические схемы ГРО;

5.5 Технологические схемы Трансгазов;

5.6 Схема низких сетей (схемы ГРС);

5.7 Технологические схемы подключения потребителей (по каждому – основные и резервные схемы).

Поскольку данные, описывающие стратегические расположения и реальные физические наименования объектов и устройств газопровода и газораспределительной сети относятся к государственной тайне, было принято решение в рамках дипломного проекта использовать только аббревиатуры объектов. Использование реальных географических координат при разработке системы не требуется, так как для ОДС важным является условное расположение объектов с основными техническими характеристиками, а также способы подключения потребителей газа.

Каждый из объектов информационной системы имеет свой жизненный цикл, который состоит из следующих стадий:

создание объекта субъектом;

хранение объекта;

передача объекта от хранилища к месту обработки и обратно;

обработка объекта (создание нового объекта, его модификация и удаление).

В соответствии с данным жизненным циклом можно определить основные действия с объектом:

хранение объекта;

передача объекта;

обработка (создание, модификация, уничтожение) объекта.

2.3. Пользователи ИС (классификация субъектов)

Генеральный директор организации
ООО «Комирегионгаз» - осуществление общего контроля деятельности предприятия, в частности контроля деятельности оперативно-диспетчерской службы. То есть субъект, использующий объекты;

Системный администратор
– внедрение ИС в информационную структуру организации, настройка возможностей взаимодействия с другими программными продуктами, в частности, контроль правильности функционирования системы. То есть субъект, администрирующий объекты (обеспечивающий среду работы с объектами);

Начальник ОДС
– использование ИС, контроль правильности и своевременность наполнения. То есть субъект, создающий, использующий и контролирующий использование объектов объекты;

Диспетчера ОДС (сменные)
– непосредственное наполнение БД, создание схем, использование в производственном процессе, формирование отчетов. То есть субъекты, создающие и использующие объекты.

2.4. Класс безопасности

Все классы оценки автоматизируемых систем разделяют на 3 группы, которые различаются особенностями обработки и хранения информации.

Разработанная система является многопользовательской в плане одновременного доступа нескольких пользователей к ней, поскольку одновременно с системой могут работать генеральный директор организации, администратор системы, начальник диспетчерской службы и диспетчера ОДС. При этом все права доступа и возможные действия строго разграничены между пользователями. Следовательно, разрабатываемую ИС необходимо отнести к 3 группе. При этом информация, обрабатываемая и хранящаяся в системе, является конфиденциальной, а, следовательно, к ней необходимо применить класс защиты 1Г (или С2 – по «Оранжевой книге»).

2.5. АО и ПО, достаточное для функционирования ИС

Сервер
:

АО: - промышленный сервер

объем оперативной пaмяти – 2 Gb;

винчестер (HDD) – 1000 Gb;

сетевой интерфейс

ПО: - операционная система - Microsoft Advansed Server 2000;

СУБД – SQL Server 2000;

Клиент
:

АО: - компьютер на базе Intel Pentium-IV 2000 Mhz;

объем оперативной памяти – 512 Мb;

винчестер (HDD) - 60 Gb;

монитор SVGA с разрешением не ниже 1024х768;

сетевой интерфейс

ПО: - операционная система - Windows XP;

офисный пакет программ - Microsoft Office XP;

программный продукт «AutoCAD 2000»;

антивирусная программа «DrWeb 4.32b».

3. Управление рисками. Экономический аспект

Как правило, представления потребителя о безопасности информационных технологий в конечном счете сводятся в основном к времени простоя информационной системы, а точнее к времени ее восстановления. При этом ему приходится учитывать все возможные причины сбоев. В результате, явно или неявно, расходы предприятий на информационные технологии всегда включают и расходы на обеспечение их безопасности. Следует отметить, что применяемые в каждом конкретном случае средства (и соответствующие расходы) адекватны риску: чем больше предполагаемые потери предприятия от простоя той или иной информационной системы, тем дороже обходятся превентивные меры безопасности.

Поэтому необходимо количественно оценить риски простоев при потере (полной/частичной) информации и при сбоях работы системы.

Сотрудники ОДС ООО «КРГ» осуществляют оперативное управление газоснабжением потребителей, осуществляя ежеминутную непрерывную работу по сбору и обработке информации по реализации газа. У ООО «КРГ» заключено порядка 500 договоров на подачу газа другим промышленным и частным предприятиям, а также договора с населением. Соответственно, простой в работе предприятия из-за сбоев в системе может принести ущерб около 100 тыс. руб. в день, начиная со второго дня простоя, а процесс восстановления работоспособного состояния порядка 5 тыс. руб. в день.

Следует учесть информацию конфиденциального характера (данные по объектам газопровода, их технические характеристики, персональные данные потребителей и т. д.), разглашение которой может в еще большей степени увеличить ущерб в связи с возможными последствиями. В лучшем случае будут предъявлены иски от предприятий-потребителей на суммы в среднем 10 тыс. руб. о разглашении данных, являющихся их коммерческой тайной, а отсюда ущерб репутации и негативное общественное мнение. Потеря доверия клиентов является очень серьезным убытком для любого предприятия. Но нельзя исключить и самые глобальные последствия, возможные при разглашении данных ввиду неспокойного положения в стране, связанного с террористическими актами. В результате ущерб может вылиться в очень большую сумму из учета восстановления последствий.

Будем рассматривать только затраты, связанные со сбоями в работе системы и её восстановлении, а также возможные предъявленные иски от предприятий-потребителей.

Для обеспечения защиты системы от сбоев необходимо выявить возможные точи отказа:

Рабочая станция диспетчера (поскольку отказ в работе машин начальника ОДС, администратора системы и генерального директора не так критичны относительно выполнения основного бизнес-процесса);

Сервер;

Коммуникации.

Утечка информации может произойти:

Использование съемных носителей.

Вирусы.

Выход в Интернет без поддержания требуемого уровня безопасности.

Использование нелицензионного ПО.

Примерная сумма ущерба при простоях за 2 дня может составить:

100 тыс. руб. (упущенная выгода) + 10 тыс. руб. (работа по восстановление системы) = 110 тыс. руб.

Примерная сумма ущерба при предъявлении исков на разглашение информации от 50 предприятий потребителей:

10 тыс. руб.*50 = 500 тыс. руб.

4. Процедуры информационной безопасности

4.1 Законодательные меры (ЗМ)

При создании политики безопасности необходимо учитывать положения Конституции, Уголовного, Процессуального, Гражданского и Трудового кодексов и других законов. Поэтому целесообразно выделить те государственные законы, указы и постановления, под которые попадает разрабатываемая система.

Конфиденциальность информации.

Федеральный закон РФ «Об информации, информатизации и защите информации» [1], Статья11;

Перечень сведений конфиденциального характера [2];

Уголовный кодекс РФ [3], Статья138, Статья183;

Создание и защита программ и БД.

Федеральный закон РФ «Об информации, информатизации и защите информации» [1], Статья16, Статья17, Статья19;

Закон РФ «О правовой охране программ для электронных вычислительных машин и баз данных» [4].

Защита информации и информационных ресурсов.

Федеральный закон РФ «Об информации, информатизации и защите информации» [1], Статья3, Статья4, Статья8, Статья20, Статья21, Статья22.

Разграничение прав доступа к информации.

Федеральный закон РФ «Об информации, информатизации и защите информации» [1], Статья12, Статья15.

Защита от несанкционированного доступа.

Уголовный кодекс РФ [3], Статья272;

Федеральный закон РФ «Об информации, информатизации и защите информации» [1], Статья6, Статья10;

Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации [5];

Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации [6];

Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации [7].

Персональные данные.

Федеральный закон РФ «Об информации, информатизации и защите информации» [1], Статья11, Статья14;

Уголовный кодекс РФ [3], Статья137, Статья155;

Конституция РФ [8], Глава 2.

Трудовой кодекс РФ [9], Глава 14.

Вирусы. Их создание, использование и распространение.

Уголовный кодекс РФ [3], Статья273.

Документирование информации.

Федеральный закон РФ «Об информации, информатизации и защите информации» [1], Статья5.

Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

Уголовный кодекс РФ [3], Статья274.

4.2 Административные меры (АМ), принятые на ООО «КРГ»

Ниже приведены уже предпринятые меры обеспечения информационной безопасности в организации ОО «КРГ»:

Физическая защита здания организации (охрана, видеонаблюдение).

Учет основных технических средств (СВТ) и систем:

Наличие схемы размещения СВТ с привязкой к границам контролируемой зоны;

Описание состава и размещения вспомогательных технических средств и систем;

Наличие схем электропитания и заземления основных технических средств и систем, вспомогательных технических средств и систем, схем прокладки кабельных линий передачи данных;

Наличие предписания на эксплуатацию СВТ и систем;

Контроль требований эксплуатационной документации на сертифицированные средства защиты, требований других нормативных документов (не реже одного раза в год).

Учет программного обеспечения, наличие соответствующих лицензий/сертификатов.

Контроль:

при вводе объекта защиты в эксплуатацию,

после проведения ремонта СВТ и средств защиты информации,

при изменениях условий расположения или эксплуатации СВТ.

Основные технические средства и системы необходимо размещать в помещениях, расположенных в пределах контролируемой зоны. Помещения, предназначенные для размещения активного сетевого оборудования и систем, должны отвечать следующим требованиям: отдельное закрытое помещение, ограниченный доступ в помещение, наличие сигнализации, средств охлаждения и средств пожаротушения.

Размещение и монтаж основных технических средств и систем, предназначенных для вывода конфиденциальной информации (печатающих устройств, видеотерминалов, графопостроителей и т.п.) необходимо проводить с учетом максимального затруднения визуального просмотра информации посторонними лицами, а также принимая дополнительные меры, исключающие подобный просмотр (шторы на окнах, непрозрачные экраны и т.п.).

Запрещается в пределах помещений объекта СВТ, где располагаются основные технические средства и системы, прокладывать незадействованные линии, имеющие выход за пределы контролируемой зоны.

Защита от несанкционированного доступа обеспечивается разграничением доступа субъектов к объектам, а именно:

Реализация правил разграничения доступа субъектов и их процессов к данным;

Реализация правил обмена данными между субъектами для АС и СРВ, построенных по сетевым принципам;

Идентификация/аутентификация субъектов в сети и поддержание привязки субъекта к процессу, выполняемому для субъекта.

Использование «хранителей экрана»

Осуществление мониторинга сети.

Использование антивирусного комплекта.

При создании ИС необходимо учесть все требования принятых административных мер организации относительно информационной безопасности, но и целесообразно предпринять дополнительные административные меры относительно системы и её функционирования в сети.

Дополнение к пункту 2 по учету основных технических средств (СВТ) и систем:

2.6 Убрать из конфигурации системного блока диспетчеров наличие дисковода и CD-ROMа. Использовать только при необходимости инсталляции программных продуктов.

Дополнение к пункту 8 по защите от несанкционированного доступа:

Реализация правил разграничения доступа субъектов и их процессов к устройствам создания твердых копий;

Регистрация действий субъекта и его процесса - аудит;

Предоставление возможностей исключения и включения новых субъектов и объектов доступа, а также изменение полномочий субъектов (регистрация нового пользователя, временные изменения в статусе пользователя, перемещения сотрудника);

Реакция на попытки НСД (блокировка, восстановление после НСД);

Тестирование;

Очистка оперативной памяти и рабочих областей на магнитных носителях после завершения работы пользователя с защищаемыми данными;

Учет выходных печатных и графических форм и твердых копий в АС (маркировка документов);

Контроль целостности программной и информационной части как средств разграничения доступа, так и обеспечивающих ее средств.

11. Пакет нормативных документов по порядку обработки и хранения конфиденциальной информации в сети.

4.3 Процедурные меры

4.3.1 Управление персоналом. ОРМ

Под управлением персоналом понимается непосредственно индивидуальная работа с каждым сотрудником организации и со всем коллективом организации в целом. То есть у каждого сотрудника в производственном процессе имеются свои права и обязанности, с которыми он должен быть ознакомлен и согласен с ними. Это могут быть должностные инструкции, перечень информации, СВТ и программных продуктов, с которыми он имеет право работать.

В рамках данного курсового проекта необходимо разработать ряд документов, инструкций, требований – регламентов, предъявляемых сотрудникам организации, которые будут работать с разрабатываемой информационной системой. Создание такого пакета документов во многом обусловлено проведенными законодательными и административными мерами и, как правило, проведение организационно-распорядительных мероприятий (ОРМ) является самым дешёвым и достаточно эффективным средством защиты информации.

Для защиты ИС «Учет основных устройств и объектов магистрального газопровода и газораспределительной сети, задействованных в производственном процессе поставки газа потребителям» рекомендуется утвердить следующие организационные мероприятия:

Регламент об осуществлении охраны помещения оперативно-диспетчерской службы, в которой находятся СВТ и работы с ними.

1.1. Сотрудники ОДС организации несут ответственность за работоспособное состояние СВТ, а также за результаты своей работы в информационной сети.

1.2. Обеспечение физической недоступности к системному блоку (опечатывание/опломбирование). Использование «хранителей экрана».

1.3. Необходимо назначение ответственного лица за каждую единицу информационного обеспечения и за все периферийные устройства, соединенные с ним.

1.4. В случаях, когда сторонние субъекты (специалисты, консультанты и т.п.) в соответствии с документальным соглашением с организацией получают доступ в информационную сеть, к конкретному сетевому ресурсу или СВТ, субъекты должны быть ознакомлены с правилами информационной безопасности, в частности по системе.

1.5 Для обеспечения нормального функционирования СВТ и всей сети сотрудник должен строго следовать правилам, порядкам и другим нормативным документам, регламентирующим части и разделы работы сотрудников.

Регламент о ведении журнала диспетчеров, в котором они будут обязаны расписываться при приеме и сдаче смены. Это обусловлено их сменной работой. По выбранному классу защищенности ИС данный регламент реализует требования регистрации и учета: входа/выхода субъектов доступа в/из системы.

Регламент на использование и защиту паролей.

3.1. Минимальная длина пароля;

3.2. Минимальный срок жизни пароля;

3.3. Максимальное количество ошибок при вводе пароля;

3.4. Поддержка истории паролей;

3.5. При входе пользователя в систему необходимо предупреждение о запрете использования чужих паролей и НСД;

Регламент о разграничении прав доступа к данным на сервере баз данных. Права доступа назначаются администратором и утверждаются генеральным директором.

4.1. Регламент об организации матрицы доступа: матрица доступа пользователей к различным объектам системы.

4.2 Регламента по изменению прав доступа при приеме на работу, перемещениях и увольнениях работников.

Регламент выхода во внешние сети (Интернет) / получения электронной почты.

Регламент по очистке оперативной памяти после работы с конфиденциальной информацией (перезагрузка компьютера).

Регламент о резервном копировании и архивировании.

7.1. Выполнение функций резервного копирования и архивирования должны быть закреплены за ответственным лицом.

7.2. Резервное копирование и архивирование должно производиться на внешние носители - CD/RW.

7.3 Резервные копии должны быть в двух экземплярах и должны храниться в различных местах не с сервером.

Регламент на проведение инвентаризации (не реже 1 раза в год).

Регламент о конфигурации рабочего места пользователя. Должен быть запрет на установку постороннего оборудования.

Регламент о запрете установки постороннего ПО на рабочую станцию.

Регламент на использование антивирусных программных средств на рабочих станциях пользователей и на сервере (мониторинг оперативной памяти).

Регламент о работе администратора.

К функциям администратора создаваемой ИС относятся:

12.1 Проведение тестирования процедур и механизмов безопасности (дружеский взлом, тестирование аварийного плана).

12.2 Обновление, настройка и изменение конфигураций функционирующего ПО.

12.3 Настройка и изменение конфигураций функционирующего АО.

12.4 Порядок подключения и работы пользователей в сети.

12.5 Расчет отказоустойчивости и надежности системы. Выводы.

12.6 Учет всех заявок пользователей о возникающих проблемах.

12.7 Тестирование, отладка, документирование вводимых информационных систем.

Регламент по работе с конфиденциальной информацией.

Регламент о службе контроля работы администратора по защите информации (или лица, контролирующего его работу).

Регламент о синхронизации времени на всем сетевом оборудовании.

Регламент по работе пользователей с СВТ.

Регламент поведения администратора при атаках, как внешних, так и внутренних.

Регламент восстановления работоспособности системы при экстренных ситуациях/авариях.

Регламент о наличии эталонной копии на неизменяемые объекты БД (к примеру, схемы БД) и на проведение сличения с целью выявления фальсификаций.

Регламент по ремонту /замене СВТ

При нарушениях любых из вышеперечисленных требований необходимо предусмотреть карательные меры от лишения премиальных и вплоть до увольнения с работы. При особо серьезных нарушениях, предусмотренных в государственных законопроектах и положениях, – заведение уголовного дела.

Необходимым также является периодическое проведение семинаров для сотрудников организации с целью повышения их уровня знаний в области информационных технологий, а также защиты информации и информационных систем, поскольку зачастую сами же сотрудники организации допускают ошибки по незнанию или своей некомпетентности.

4.3.2 Разделение полномочий

Необходимо ввести контролирующее подразделение за соблюдением ОРМ или назначить сотрудника для снижения злоупотребления сотрудниками организации своими полномочиями.

Предоставить администратору информационной системы создание ролей прав доступа, а контролирующему лицу (администратору безопасности) предоставить выдачу пользователям этих ролей, в результате чего снизится возможность утечки или нелегального использования конфиденциальной информации злоумышленниками.

Запретить администратору информационной системы иметь права работы с объектами системы, но иметь доступ к регистрационному журналу для трассировки значимых событий. А администратору безопасности дать возможность просмотра журнала с целью выявления несанкционированных действий со стороны администратора системы (контроль его действий).

Проверка контролирующим лицом записей в журналах учета работы пользователей с конфиденциальной информации. Соответствие прав пользователей.

При введении в эксплуатацию МСЭ следует выделить отдельную штатную единицу для его администрирования, поскольку это очень серьезная и ответственная работа.

4.3.3 Физическая защита

Методы и средства физической защиты в организации:

4.3.4 Поддержка работоспособности системы

Для поддержки работоспособности системы необходимо наладить:

-поддержку пользователей системы, а именно необходимо расписать все возможные случаи поведения системы и действия пользователей в этих ситуациях. -поддержку программного обеспечения, а именно иметь в наличии все необходимые инсталляционные пакеты используемых программ.

-поддержку аппаратного обеспечения, а именно резерв активного оборудования (в т.ч. коммуникационных кабелей), наличие источников бесперебойной работы, RAID-массив на сервере и обеспечение надежного бесперебойного удаленного управления.

-регламент конфигурационного управления, а именно регламент подключения новых пользователей (перемещение/увольнение) - ОРМ 4.2, регламент на копирование и архивирование данных/файлов - ОРМ 7.3.

-регламент восстановления работоспособности системы при экстренных ситуациях/авариях - ОРМ 18.

4.4 Программно-технические меры (ПТМ)

В организации для поддержания безопасной работы уже используются антивирусный комплекс, а также осуществляется мониторинг сети. Поэтому рассмотрим другие программно-технические средства, необходимые для повышения уровня защиты информационной системы и информации (сам. Приложение 2).

Межсетевой экран