1.2 Тематика курсової роботи

Зміст курсової роботи відповідає навчальній програмі та робочому плану дисципліни "Комплексні системи інформаційної безпеки" і повинен відо­бра­жа­ти суть обраної студентом теми. Зміст КР визначається завданням, яке видається не пізніше шести днів з початку семестру на кон­суль­тації викладачем кожному студенту.

Курсова робота включає декілька послі­дов­них етапів, які повинні бути пов’язані зі змістовною поста­нов­кою задачі, роз­роб­кою індивідуального та технічного завдання, ідентифікацією загроз, вразливостей та оцінюванням стану захищеності, побудовою оптимальної системи захисту інформаційних ресурсів об’єкту, побудовою нечіткої експертної системи для задач оцінювання рівня інформаційної безпеки та вибір політики інформаційної безпеки та фор­мулюванням об­ґрун­тованих висновків щодо ефективності розробле­ного захисту. Орієнтовний графік виконання курсової роботи наведено у подальших розділах. Студентам бажано дотримуватись наведеного графіка, починаючи роботу над проектом з перших тижнів триместру. Під час проведення поточного контролю знань з дисципліни "Комплексні системи інформаційної безпеки" якість, зацікавленість та ефективність роботи студентів буде оцінюватись відповідною кількістю балів, що суттєво впливатимуть на загальну оцінку з дисципліни за модуль.

Індивідуальне завдання для курсових робіт визначається викладачем із загального спис­ку завдань на курсову роботу (Додаток В). Заохочуються про­позиції студентів щодо само­стій­ного, за уз­год­женням з викладачем, вибору теми курсової роботи поза межами за­про­по­нованого в методичних вказівках пере­ліку. Само­стій­ний вибір підприємства, для якого буде проводитись дослідження, методів його моделювання, методик оцінювання стану його захищеності, розробка програмних засобів оцінювання відповідно цих методів, використання додаткових методик щодо розробки політики інформаційної безпеки, дозволяє зро­бити вис­но­вок щодо рівня твор­чої актив­ності студента, його вміння самостійно здійснити попередній аналіз предметної області, поставити перед собою конкретну задачу та ефективно її реалізувати.

2 Короткі теоретичні відомості

2.1 Аналіз інформаційної безпеки об’єкту захисту.

Існують різні класифікації аналізу інформаційної безпеки. Вибір тієї чи іншої класифікації для аналізу доречно робити, зважаючи на класифікаційний критерій (ознаку). Якісна класифікація має чітке розмежування між різними класами.

Наприклад, розрізняють підходи залежно від оригінальності проекту, що пропонується:

- "від продукту". Цього підходу дотримуються, як правило, компанії-виробники, що мають в своєму складі проектну групу. Фактично, в таких компаніях інтеграція виросла з просто напряму впровадження, в той момент, коли замовник попросив не просто продукт, а проект. Таким чином, вся технологія проектування орієнтована на те, щоб продукт, що виробляється компанією, був центральним незалежно від завдання, що вирішується. Даний підхід не завжди реально обґрунтований, особливо в умовах агресивного маркетингу та позиціонування продукту, як "панацеї" від більшості загроз безпеці.

Проте, у випадку, коли замовник володіє достатньою кваліфікацією, щоб широко дивитися на проблему захисту інформації і уникати однобоких рішень, реалізуються проекти високої якості, що зрозуміло – ніхто, окрім виробника, не знає продукту краще. Але в цьому випадку потрібна або наявність власних висококваліфікованих фахівців, проектувальників системних, або залучення зовнішніх консалтингових компаній.

- компанія виступає постачальником рішень в галузі захисту інформації. Усвідомлюючи відсутність єдиного продукту, що захищає від всіх загроз, компанія пропонує комплексне вирішення проблеми. Воно складається з комбінації декількох відомих технологій захисту, наприклад, брандмауерів для захисту від атак з Інтернету, VPN - для закритих каналів зв’язку і тому подібне. Такий підхід досить ефективний, але тут існує одна проблема. Виникає спокуса починати будувати систему, відштовхуючись не від потреб замовника, а від засобів захисту, що є в наявності.

Можливо, така технологія роботи була б виправдана в умовах повністю електронного документообігу в організації, але реалії такі, що більшість комп’ютерних систем є друкарськими машинками, об’єднаними мережею. В умовах паперового документообігу всі документи готуються на комп’ютері, роздруковуються, а потім в паперовому вигляді рухаються по організації. У мережі існують лише вогнища автоматизації, наприклад, в бухгалтерії, в конструкторському відділі і тому подібне. А решта всіх співробітників спілкується один з одним, в кращому разі, по е-mail або через загальні теки, тому буває важко пояснити, навіщо використовувати, наприклад, VPN, якщо вся інформація відправляється поштою або факсу. Або навіщо встановлювати на комп’ютери електронні замки, якщо всі документи зберігаються в shared теках, не закриті паролями, і їх може отримати практично будь-який співробітник.

- третя позиція - найскладніша і така, що достатньо рідко зустрічається на нашому ринку. Яка стандартна схема продажу деякого продукту або системи? Постачальник приходить до замовника, вивчає його проблему і пропонує те або інше рішення, продукт або варіанти рішення, або замовник організовує тендер, отримує декілька пропозицій. І в тому і в іншому випадку замовник самостійно ухвалює рішення про те яку систему, технологію упроваджувати. Тобто відповідальність за ухвалення рішень по захисту інформації покладається на замовника, який, взагалі кажучи, не є експертом в області захисту інформації. Найскладніше завдання, яке може і повинна стояти перед компанією-інтегратором, - це перейняти на себе відповідальність за вибір стратегії забезпечення безпеки організації, розвиток системи, її адекватність технологіям, що розвиваються. Системний інтегратор повинен реалізовувати єдину комплексну політику, як технічну, так і організаційну, проводячи її на всіх рівнях організації-замовника.

Перед виробленням рішення по інформаційній безпеці інтегратор повинен провести всебічне глибоке обстеження не просто інформаційної системи замовника, а всього "інформаційного життя" організації. Обстеження повинне вестися на трьох рівнях: на рівні бізнес-процесів, який виявляє документальні потоки, типи оброблюваної інформації, рівні її конфіденційності; на інфраструктурному рівні – для виявлення вразливостей серверного парку, мережевого устаткування; на рівні застосувань, на якому виявляються уразливості в програмному забезпеченні, помилки в налаштуваннях механізмів розмежування доступу і ін.

На основі отриманих даних необхідно формувати спочатку концептуальне рішення по захисту інформації, що складається з комплексу організаційних, процедурних і програмно-апаратних заходів захисту, а потім, чітко обгрунтувувавши вибір, пропонувати впровадження тих або інших технологій захисту. При цьому потрібно враховувати, що підсистема інформаційній безпеці є підтримуючою системою по відношенню до всієї інформаційної системи організації. Вона не повинна грати домінуючу роль в розвитку організації та її інформаційної системи. Тобто система інформаційної безпеки повинна захищати інформацію, що забезпечує бізнес-завдання організації.