6.2.1.2. Лабораторная работа 2

Расчет и управление информационными рисками на основе модели информационных потоков.

Задание

Занести исходные данные в программу ГРИФ (Модель информационных потоков) и рассчитать риски ИС.

Исходные данные

К ИС имеют доступ следующие группы пользователей:

1. топ-менеджеры:

   • генеральный директор

   • заместитель генерального директора

2. авторизованные пользователи из Интернет:

   • финансовый директор

3. пользователи:

• главный бухгалтер

• начальник отдела продаж

• начальник отдела закупок

• бухгалтер 1

• бухгалтер 2

• менеджер

• менеджер по продажам 1

• менеджер по продажам 2

• менеджер по закупкам 1

• менеджер по закупкам 2

• секретарь генерального директора

• секретарь заместителя генерального директора

• секретарь финансового директора

• секретарь начальника отдела продаж

• секретарь начальника отдела закупок

  4. системные администраторы:

     • главный администратор

     • администратор

В ИС компании входят ресурсы, структурированные по отделам:

• Руководство

  • Сервер 1

  • Рабочая станция генерального директора

  • Рабочая станция секретаря генерального директора

  • Рабочая станция заместителя генерального директора

  • Рабочая станция секретаря заместителя генерального директора

• Бухгалтерия

  • Сервер 2

  • Рабочая станция главного бухгалтера

  • Рабочая станция бухгалтера 1

  • Рабочая станция бухгалтера 2

• Финансовый отдел

  • Сервер 3

  • Мобильный компьютер финансового директора

  • Рабочая станция секретаря финансового директора

  • Рабочая станция менеджера

• Отдел продаж

  • Сервер 4

  • Рабочая станция начальника отдела продаж

  • Рабочая станция секретаря начальника отдела продаж

  • Рабочая станция менеджера по продажам 1

  • Рабочая станция менеджера по продажам 2

• Отдел закупок

  • Сервер 5

  • Рабочая станция начальника отдела закупок

  • Рабочая станция секретаря начальника отдела закупок

  • Рабочая станция менеджера по закупкам 1

  • Рабочая станция менеджера по закупкам 2

• Отдел автоматизации

  • Сервер резервного копирования

  • Контролер домена

  • Рабочая станция главного администратора

  • Рабочая станция администратора

Порядок выполнения задания

1. Создание проекта:

   1. Введите название нового проекта.

2. Свойства проекта:

   1. Введите название объекта, ответственного пользователя и его должность

   2. Выберите уровни. Измените значения эффективности средств защиты, которые специфичны для моделируемой ИС.

3. Раздел «Моделирование системы»:

   1. Занесите отделы компании.

   2. Укажите сетевые группы компании, соответствующие отделам компании, т.е. все ресурсы отдела входят в одну сетевую группу.

   3. Занесите ресурсы компании, укажите к какому отделу и сетевой группе относятся ресурсы согласно исходным данным.

   4. Занесите сетевое оборудование, с помощью которого пользователи получают доступ к информации (следует выбрать не менее 5).

   5. Занесите сведения о группах пользователей, согласно исходным данным.

   6. Укажите виды информации, которая хранится и обрабатывается на ресурсах ИС (следует указать не менее 7 видов информации, например, бухгалтерский отчет, сведения о поставщиках, сведения о зарплатах и т.д).

   7. Укажите бизнес-процессы, в которых обрабатывается информация.

   8. Введите расходы на ИБ.

4. Раздел «Связи»

   1. Для каждого ресурса в ИС укажите, какая информация хранится или обрабатывается на нем.

   2. Укажите, какие пользователи имеют доступ к хранимой или обрабатываемой на ресурсе информации и вид доступа пользователей (следует учесть, что группы обычных пользователей (пользователи, менеджеры, топ-менеджеры) могут иметь локальный доступ только к одной рабочей станции или к одному мобильному компьютеру).

   3. Укажите, используя, какие каналы связи каждая группа пользователей осуществляет доступ к информации, хранимой или обрабатываемой на ресурсе.

   4. Укажите, в каких бизнес-процессах обрабатывается информация.

   5. Укажите средства защиты для каждого ресурса. Значение эффективности средств зашиты можно посмотреть в «Свойствах проекта».

   6. Укажите средства защиты информации, хранимой или обрабатываемой на ресурсе.

5. Раздел «Политика Безопасности»

   1. Ответьте на вопросы, учитывающие организационные меры обеспечения ИБ, т.е. аспекты, которые невозможно отобразить при построении модели ИС. Укажите вопросы, которые неприменимы к моделируемой ИС, (т.е. вопросы, относящиеся к бизнес-процессам, которых не существует в компании).

6. Отчет:

   1. Создаете отчет.

   2. Проанализируйте результаты.

7. Управление рисками:

   1. Смоделируйте установку дополнительных средств защиты в моделируемой ИС.

   2. Запретите некоторым группам пользователей доступ к видам информации.

   3. Для каждого вида информации смоделируйте установку дополнительных средств защиты информации.

   4. Обратите внимание на эффективность комплекса контрмер и на снижение риска после задания контрмер.

8. Отчет:

   1. Создайте повторный отчет.

   2. Проанализируйте, изменился ли риск при задании контрмер.

9. Управление рисками

   1. Исходя из полученных результатов, внедрите в модель ИС некоторые самые значимые изменения ИС.

10. Отчет

    1. Создайте отчет.

    2. Проанализируйте риски в ИС.