
- •Федеральное государственное бюджетное образовательное учреждение высшего профессионального образования «Тульский государственный университет»
- •Конспект лекций
- •Комплексная система защиты информации на предприятии
- •090900 «Информационная безопасность»
- •Содержание
- •Тема 1. Сущность и задачи комплексной защиты информации
- •Тема 2. Принципы организации и этапы разработки ксзи
- •Тема 3. Факторы, влияющие на организацию ксзи
- •Тема 4. Определение и нормативное закрепление состава защищаемой информации
- •Тема 5. Определение объектов защиты
- •Тема 10. Определение условий функционирования ксзи
- •Тема 11. Разработка модели ксзи
- •Тема 12. Технологическое и организационное построение ксзи
- •Тема 13. Кадровое обеспечение функционирования комплексной системы защиты информации
- •Введение
- •Тема 1 Сущность и задачи комплексной защиты информации План
- •1.2. Цели, задачи и принципы построения ксзи
- •1.3. О понятиях безопасности и защищенности
- •1.4. Разумная достаточность и экономическая эффективность
- •1.5. Управление безопасностью предприятия. Международные стандарты
- •1.6. Цели и задачи защиты информации в автоматизированных системах
- •1.7. Современное понимание методологии защиты информации
- •1.7.1. Особенности национального технического регулирования
- •1.7.2. Что понимается под безопасностью ит?
- •1.7.3. Документы пользователя
- •1.7.4. Требования к средствам обеспечения безопасности
- •Тема 2. Принципы организации и этапы разработки ксзи План
- •2.1. Методологические основы организации ксзи
- •2.2. Разработка политики безопасности и регламента безопасности предприятия
- •2.3. Основные положения теории сложных систем
- •2.4. Система управления информационной безопасностью предприятия. Принципы построения и взаимодействие с другими
- •2.5. Требования, предъявляемые к ксзи
- •2.5.1. Требования к организационной и технической составляющим ксзи
- •2.5.2. Требования по безопасности, предъявляемые к изделиям ит
- •2.6. Этапы разработки ксзи
- •Тема 3. Факторы, влияющие на организацию ксзи План
- •3.1. Влияние формы собственности на особенности защиты информации ограниченного доступа
- •3.2. Влияние организационно-правовой формы предприятия на особенности защиты информации ограниченного доступа
- •3.3. Характер основной деятельности предприятия
- •3.4. Состав, объекты и степень конфиденциальности защищаемой информации
- •3.5. Структура и территориальное расположение предприятия
- •3.6. Режим функционирования предприятия
- •3.7. Конструктивные особенности предприятия
- •3.8. Количественные и качественные показатели ресурсообеспечения
- •3.9. Степень автоматизации основных
- •Тема 4. Определение и нормативное закрепление состава защищаемой информации План
- •4.2. Нормативно-правовые аспекты определения состава защищаемой информации
- •4.2.1. Решение задачи 1
- •4.2.2. Решение задачи 2
- •4.2.3. Определение состава защищаемой информации, отнесенной к коммерческой тайне предприятия
- •4.3. Методика определения состава защищаемой информации
- •6.1. Составление предварительного Перечня.
- •6.2. Определение возможного ущерба, наступающего в результате несанкционированного распространения кт.
- •4.4. Порядок внедрения Перечня сведений, составляющих кт, внесение в него изменений и дополнений
- •Тема 5. Определение объектов защиты План
- •5.2. Методика выявления состава носителей защищаемой информации
- •5.3. Особенности взаимоотношений с контрагентами как объект защиты информации ограниченного доступа
- •5.4. Факторы, определяющие необходимость защиты периметра и здания предприятия
- •5.5. Особенности помещений как объектов защиты для работы по защите информации
- •Основные принципы оборудования сигнализацией.
- •Сейфы и хранилища ценностей
- •5.6. Транспортные средства и особенности транспортировки
- •5.7. Состав средств обеспечения, подлежащих защите
- •Тема 6. Дестабилизирующие воздействия на информацию и их нейтрализация План
- •6.1. Факторы, создающие угрозу информационной безопасности
- •6.2. Угрозы безопасности информации
- •6.3. Модели нарушителей безопасности ас
- •6.4. Подходы к оценке ущерба от нарушений иб
- •6.5. Обеспечение безопасности информации в непредвиденных ситуациях
- •6.6. Реагирование на инциденты иб
- •6.7. Резервирование информации и отказоустойчивость
- •Тема 7. Определение потенциальных каналов и методов несанкционированного доступа к информации План
- •7.1. Технические каналы утечки информации, их классификация
- •7.2. Задачи ксзи по выявлению угроз и куи
- •7.3. Особенности защиты речевой информации
- •7.4. Особенности защиты компьютерной информации от утечки по каналам пэмин
- •Тема 8. Определение возможностей несанкционированного доступа к защищаемой информации План
- •8.1. Методы и способы защиты информации
- •8.2. Классификация сзи нсд
- •8.3. Механизмы обеспечения безопасности информации
- •8.3.1. Идентификация и аутентификация
- •8.3.2. Разграничение доступа
- •8.3.3. Регистрация и аудит
- •8.3.4. Криптографическая подсистема
- •8.3.5. Межсетевое экранирование
- •8.4. Методика выявления нарушителей, тактики их действий и состава интересующей их информации
- •Тема 9. Определение компонентов ксзи План
- •9.1. Особенности синтеза сзи ас от нсд
- •9.2. Методика синтеза сзи
- •9.2.1. Общее описание архитектуры ас, системы f защиты информации и политики безопасности
- •9.2.2. Формализация описания архитектуры исследуемой ас
- •9.2.3. Формулирование требований к системе защиты информации
- •9.2.4. Выбор механизмов и средств защиты информации
- •9.2.5. Определение важности параметров средств защиты информации
- •9.3. Оптимальное построение системы защиты для ас
- •9.4. Выбор структуры сзи ас
- •9.5. Проектирование системы защиты информации для существующей ас
- •Тема 10. Определение условий функционирования ксзи План
- •10.1. Содержание концепции построения ксзй
- •10.2. Объекты защиты
- •10.3. Цели и задачи обеспечения безопасности информации
- •10.4. Основные угрозы безопасности информации ас организации
- •10.5. Основные положения технической политики в области обеспечения безопасности информации ас организации
- •10.6. Основные принципы построения ксзи
- •10.7. Меры, методы и средства обеспечения требуемого уровня защищенности информационных ресурсов
- •10.8. Первоочередные мероприятия по обеспечению безопасности информации ас организации
- •Тема 11. Разработка модели ксзи План
- •11.2. Формальные модели безопасности и их анализ
- •11.2.1. Классификация формальных моделей безопасности
- •11.2.2. Модели обеспечения конфиденциальности
- •11.2.3. Модели обеспечения целостности
- •11.2.4. Субъектно-ориентированная модель
- •11.3. Прикладные модели защиты информации в ac
- •11.4. Формальное построение модели защиты: пример
- •11.4.1. Описание объекта защиты
- •11.4.2. Декомпозиция ас на субъекты и объекты
- •11.4.3. Модель безопасности: неформальное описание
- •11.4.4. Декомпозиция системы защиты информации
- •11.4.5. Противостояние угрозам. Реализация системы защиты информации субъекта ас субъектно-объектной модели
- •11.5. Формализация модели безопасности
- •11.5.1. Процедура создания пары субъект—объект, наделение их атрибутами безопасности
- •11.5.2. Осуществление доступа субъекта к объекту
- •11.5.3. Взаимодействие с внешними сетями
- •11.5.4. Удаление субъекта — объекта
- •Тема 12. Технологическое и организационное построение ксзи План
- •12.2. Характеристика основных стадий создания ксзи
- •12.3. Назначение и структура технического задания (общие требования к содержанию)
- •12.4. Предпроектное обследование, технический проект, рабочий проект.
- •Тема 13. Кадровое обеспечение функционирования комплексной системы защиты информации План
- •13.2. Распределение функций по защите информации
- •13.2.1. Функции руководства предприятия
- •13.2.2. Функции службы защиты информации
- •13.2.3. Функции специальных комиссий
- •13.2.4. Обязанности пользователей защищаемой информации
- •13.3. Обеспечение взаимодействия между субъектами, защищающими и использующими* информацию ограниченного доступа
- •13.4. Подбор и обучение персонала
- •Тема 14. Материально-техническое и нормативно-методологическое обеспечение комплексной системы защиты информации План
- •14.1. Состав и значение материально-технического обеспечения функционирования ксзи
- •Тема15. Назначение, структура и содержание управления ксзи План
- •15.1. Понятие, сущность и цели управления ксзи
- •15.2. Принципы управления ксзи
- •15.3. Структура процессов управления
- •15.4. Основные процессы, функции и задачи управления ксзи
- •15.5. Основные стили управления
- •15.6. Структура и содержание общей технологии управления ксзи
- •Тема 16. Принципы и методы планирования функционирования ксзи План
- •16.1. Понятие и задачи планирования функционирования ксзи
- •16.2. Способы и стадии планирования
- •16.3. Факторы, влияющие на выбор способов планирования
- •16.4. Основы подготовки и принятия решений при планировании
- •16.5. Методы сбора, обработки и изучения информации, необходимой для планирования
- •16.6. Организация выполнения планов
- •Тема 17. Сущность и содержание контроля функционирования План
- •17.1. Виды контроля функционирования ксзи
- •17.2. Цель проведения контрольных мероприятий в ксзи
- •17.3. Анализ и использование результатов проведения контрольных мероприятий
- •Тема 18. Управление комплексной системой защиты информации в условиях чрезвычайных ситуаций План
- •18.1. Понятие и основные виды чрезвычайных ситуаций
- •18.2. Технология принятия решений в условиях чс
- •18.3. Факторы, влияющие на принятие решений в условиях чс
- •18.4. Подготовка мероприятий на случай возникновения чс
- •Перечень
- •Тема 19. Общая характеристика подходов к оценке эффективности ксзи План
- •19.1. Вероятностный подход
- •19.2. Оценочный подход
- •19.3. Требования рд свт и рд ас
- •19.4. Задание требований безопасности информации и оценка соответствия им согласно гост 15408—2002
- •19.5. Экспериментальный подход
- •Тема 20.
- •20.1. Показатель уровня защищенности, основанный на экспертных оценках
- •Экспертного опроса
- •20.2. Методы проведения экспертного опроса
- •20.3. Экономический подход к оценке эффективности ксзи
- •20.3.1. Определение размеров ущерба
- •20.3.2. Определение размеров ущерба с использованием экспертных оценок
- •(Ущербов)
- •20.3.3. Определение упущенной выгоды в результате ограничений на распространение информации
- •20.3.4. Определение затрат на защиту информации
- •Библиографический список
2.6. Этапы разработки ксзи
По мнению ведущих специалистов в области защиты информации, в настоящее время можно выделить три различных концептуальных подхода к проектированию систем защиты:
1. «Продуктовый». Данный подход характерен для компаний-производителей средств защиты информации, занимающихся, кроме того, и разработкой законченных проектов в области безопасности. Понятно желание такой компании построить КСЗИ «округ производимого ею продукта или линейки продуктов. При этом эффективность КСЗИ зачастую страдает. Однако это вовсе не означает, что такой компании нельзя поручать реализацию проекта: вряд ли кто-то знает особенности продукта лучше его разработчиков. Просто в этом случае желателен контроль за проектированием со стороны либо своих высококлассных специалистов, либо специалистов привлекаемых консалтинговых фирм. 2. «.Комплекс продуктов». Данный подход используют компании-поставщики решений в области защиты информации. Понимая отсутствие единого продукта, защищающего от всех угроз компания предлагает комплексное решение проблемы. Это решение состоит из комбинации продуктов разных производителей каждый из которых предназначен для решения какой-либо задачи. Например, для защиты дисков компьютера от НСД применяются электронные замки, для зашиты каналов связи — VPN. «Опасность» такого подхода заключается в искушении для разработчика пойти по пути наименьшего сопротивления и реализовывать защиту, отталкиваясь от наличия и знания СЗИ. При этом возможна значительная избыточность реализованных механизмовбезопасности и закупленных СЗИ, отсутствует целостное решение проблемы. По-видимому, этот подход наиболее привлекателен для небольших компаний, которые не могут позволить себепокупать дорогие услуги компаний-интеграторов.
3, «Комплексный». При двух ранее рассмотренных подходах окончательное решение о построении КСЗИ принимает заказчик, который в общем случае не является экспертом в области информационной безопасности, поэтому и вся ответственность за принятые решения лежит на нем. Иногда, хотя и достаточно редко, встречается и третий подход, когда ответственность за принимаемые решения по защите информации возлагает на себя компания-интегратор. При этом она реализует единую комплексную политику, как техническую, так и организационную, проводя ее на всех уровнях организации-заказчика.
Перед выработкой замысла на построение КСЗИ интегратор: выполняет всестороннее обследование предприятия заказчика. Это обследование выполняется в трех плоскостях: бизнес-процессы; технические средства и С ВТ, программные средства. Определяются основные информационные потоки, технология обработки информации, наличие и качество имеющихся средств обеспечения безопасности, опыт и знания персонала по работе с теми или иными программными продуктами.
На основе полученных данных формируется замысел по защите информации, состоящий из комплекса организационных, технических и программно-аппаратных мер защиты. Затем уже обосновывается применение тех или иных СЗИ и технологий зашиты. Итак, основными этапами работ по созданию КСЗИ являются: Обследование организации.
Услуги по обследованию организации могут достаточно сильно различаться у разных поставщиков услуг. Это может быть анализ защищенности вычислительной системы, обследование вычислительной системы (гораздо более глубокий уровень детализациии), обследование организации в целом, т.е. охват «бумажного» документооборота и бизнес процессов организации с точки зрении информационной безопасности, проверка на соответствие нормативно-правовым документам и Т;П. На стадии обследования организации [23]:
устанавливается наличие секретной (конфиденциальной) информации в разрабатываемой КСЗИ, оценивается уровень конфиденциальности и объемы;
определяется наличие аттестованных помещений, средств защиты от утечки по техническим каналам;
определяются режимы обработки информации (диалоговый, Телеобработки и режим реального времени), состав комплекса Технических средств, общесистемные программные средства и т.д.;
изучаются принятые в организации правила бумажного документооборота;
анализируется возможность использования имеющихся на рынке сертифицированных средств защиты информации;
определяется степень участия персонала, функциональных Служб, специалистов и вспомогательных работников объекта автоматизации в обработке информации, характер их взаимодействия между собой и со службой безопасности;
определяются мероприятия по обеспечению режима секретности на стадии разработки.
2. Проектирование системы защиты информации.
При проектировании системы информационной безопасности могут быть охвачены как все три уровня защиты — организационный, технический и программно-аппаратный, так и исключительно Технический уровень. Это два принципиально разных типа работ и но сути, и по объемам, так как первый предполагает разработку концепции (политики) информационной безопасности, нормативно-распорядительных документов, различных регламентов и только Потом — технического проекта.
3. Внедрение системы защиты информации.
Заказчику выгодно использовать подрядную организацию и не иметь проблем с единовременным привлечением большого количества специалистов по информационной безопасности, контролем качества выполняемых работ, выработкой единой политики безопасности.
4. Сопровождение системы информационной безопасности.
Оперативное реагирование на внештатные ситуации, периодическое обновление специального ПО, установка необходимых «заплат» на общесистемное ПО, отслеживание появления новых атак и уязвимостей.
5. Обучение специалистов по защите информации. Обучение руководителей служб безопасности, руководителей
IT-подразделений, пользователей средств защиты.