
- •Федеральное государственное бюджетное образовательное учреждение высшего профессионального образования «Тульский государственный университет»
- •Конспект лекций
- •Комплексная система защиты информации на предприятии
- •090900 «Информационная безопасность»
- •Содержание
- •Тема 1. Сущность и задачи комплексной защиты информации
- •Тема 2. Принципы организации и этапы разработки ксзи
- •Тема 3. Факторы, влияющие на организацию ксзи
- •Тема 4. Определение и нормативное закрепление состава защищаемой информации
- •Тема 5. Определение объектов защиты
- •Тема 10. Определение условий функционирования ксзи
- •Тема 11. Разработка модели ксзи
- •Тема 12. Технологическое и организационное построение ксзи
- •Тема 13. Кадровое обеспечение функционирования комплексной системы защиты информации
- •Введение
- •Тема 1 Сущность и задачи комплексной защиты информации План
- •1.2. Цели, задачи и принципы построения ксзи
- •1.3. О понятиях безопасности и защищенности
- •1.4. Разумная достаточность и экономическая эффективность
- •1.5. Управление безопасностью предприятия. Международные стандарты
- •1.6. Цели и задачи защиты информации в автоматизированных системах
- •1.7. Современное понимание методологии защиты информации
- •1.7.1. Особенности национального технического регулирования
- •1.7.2. Что понимается под безопасностью ит?
- •1.7.3. Документы пользователя
- •1.7.4. Требования к средствам обеспечения безопасности
- •Тема 2. Принципы организации и этапы разработки ксзи План
- •2.1. Методологические основы организации ксзи
- •2.2. Разработка политики безопасности и регламента безопасности предприятия
- •2.3. Основные положения теории сложных систем
- •2.4. Система управления информационной безопасностью предприятия. Принципы построения и взаимодействие с другими
- •2.5. Требования, предъявляемые к ксзи
- •2.5.1. Требования к организационной и технической составляющим ксзи
- •2.5.2. Требования по безопасности, предъявляемые к изделиям ит
- •2.6. Этапы разработки ксзи
- •Тема 3. Факторы, влияющие на организацию ксзи План
- •3.1. Влияние формы собственности на особенности защиты информации ограниченного доступа
- •3.2. Влияние организационно-правовой формы предприятия на особенности защиты информации ограниченного доступа
- •3.3. Характер основной деятельности предприятия
- •3.4. Состав, объекты и степень конфиденциальности защищаемой информации
- •3.5. Структура и территориальное расположение предприятия
- •3.6. Режим функционирования предприятия
- •3.7. Конструктивные особенности предприятия
- •3.8. Количественные и качественные показатели ресурсообеспечения
- •3.9. Степень автоматизации основных
- •Тема 4. Определение и нормативное закрепление состава защищаемой информации План
- •4.2. Нормативно-правовые аспекты определения состава защищаемой информации
- •4.2.1. Решение задачи 1
- •4.2.2. Решение задачи 2
- •4.2.3. Определение состава защищаемой информации, отнесенной к коммерческой тайне предприятия
- •4.3. Методика определения состава защищаемой информации
- •6.1. Составление предварительного Перечня.
- •6.2. Определение возможного ущерба, наступающего в результате несанкционированного распространения кт.
- •4.4. Порядок внедрения Перечня сведений, составляющих кт, внесение в него изменений и дополнений
- •Тема 5. Определение объектов защиты План
- •5.2. Методика выявления состава носителей защищаемой информации
- •5.3. Особенности взаимоотношений с контрагентами как объект защиты информации ограниченного доступа
- •5.4. Факторы, определяющие необходимость защиты периметра и здания предприятия
- •5.5. Особенности помещений как объектов защиты для работы по защите информации
- •Основные принципы оборудования сигнализацией.
- •Сейфы и хранилища ценностей
- •5.6. Транспортные средства и особенности транспортировки
- •5.7. Состав средств обеспечения, подлежащих защите
- •Тема 6. Дестабилизирующие воздействия на информацию и их нейтрализация План
- •6.1. Факторы, создающие угрозу информационной безопасности
- •6.2. Угрозы безопасности информации
- •6.3. Модели нарушителей безопасности ас
- •6.4. Подходы к оценке ущерба от нарушений иб
- •6.5. Обеспечение безопасности информации в непредвиденных ситуациях
- •6.6. Реагирование на инциденты иб
- •6.7. Резервирование информации и отказоустойчивость
- •Тема 7. Определение потенциальных каналов и методов несанкционированного доступа к информации План
- •7.1. Технические каналы утечки информации, их классификация
- •7.2. Задачи ксзи по выявлению угроз и куи
- •7.3. Особенности защиты речевой информации
- •7.4. Особенности защиты компьютерной информации от утечки по каналам пэмин
- •Тема 8. Определение возможностей несанкционированного доступа к защищаемой информации План
- •8.1. Методы и способы защиты информации
- •8.2. Классификация сзи нсд
- •8.3. Механизмы обеспечения безопасности информации
- •8.3.1. Идентификация и аутентификация
- •8.3.2. Разграничение доступа
- •8.3.3. Регистрация и аудит
- •8.3.4. Криптографическая подсистема
- •8.3.5. Межсетевое экранирование
- •8.4. Методика выявления нарушителей, тактики их действий и состава интересующей их информации
- •Тема 9. Определение компонентов ксзи План
- •9.1. Особенности синтеза сзи ас от нсд
- •9.2. Методика синтеза сзи
- •9.2.1. Общее описание архитектуры ас, системы f защиты информации и политики безопасности
- •9.2.2. Формализация описания архитектуры исследуемой ас
- •9.2.3. Формулирование требований к системе защиты информации
- •9.2.4. Выбор механизмов и средств защиты информации
- •9.2.5. Определение важности параметров средств защиты информации
- •9.3. Оптимальное построение системы защиты для ас
- •9.4. Выбор структуры сзи ас
- •9.5. Проектирование системы защиты информации для существующей ас
- •Тема 10. Определение условий функционирования ксзи План
- •10.1. Содержание концепции построения ксзй
- •10.2. Объекты защиты
- •10.3. Цели и задачи обеспечения безопасности информации
- •10.4. Основные угрозы безопасности информации ас организации
- •10.5. Основные положения технической политики в области обеспечения безопасности информации ас организации
- •10.6. Основные принципы построения ксзи
- •10.7. Меры, методы и средства обеспечения требуемого уровня защищенности информационных ресурсов
- •10.8. Первоочередные мероприятия по обеспечению безопасности информации ас организации
- •Тема 11. Разработка модели ксзи План
- •11.2. Формальные модели безопасности и их анализ
- •11.2.1. Классификация формальных моделей безопасности
- •11.2.2. Модели обеспечения конфиденциальности
- •11.2.3. Модели обеспечения целостности
- •11.2.4. Субъектно-ориентированная модель
- •11.3. Прикладные модели защиты информации в ac
- •11.4. Формальное построение модели защиты: пример
- •11.4.1. Описание объекта защиты
- •11.4.2. Декомпозиция ас на субъекты и объекты
- •11.4.3. Модель безопасности: неформальное описание
- •11.4.4. Декомпозиция системы защиты информации
- •11.4.5. Противостояние угрозам. Реализация системы защиты информации субъекта ас субъектно-объектной модели
- •11.5. Формализация модели безопасности
- •11.5.1. Процедура создания пары субъект—объект, наделение их атрибутами безопасности
- •11.5.2. Осуществление доступа субъекта к объекту
- •11.5.3. Взаимодействие с внешними сетями
- •11.5.4. Удаление субъекта — объекта
- •Тема 12. Технологическое и организационное построение ксзи План
- •12.2. Характеристика основных стадий создания ксзи
- •12.3. Назначение и структура технического задания (общие требования к содержанию)
- •12.4. Предпроектное обследование, технический проект, рабочий проект.
- •Тема 13. Кадровое обеспечение функционирования комплексной системы защиты информации План
- •13.2. Распределение функций по защите информации
- •13.2.1. Функции руководства предприятия
- •13.2.2. Функции службы защиты информации
- •13.2.3. Функции специальных комиссий
- •13.2.4. Обязанности пользователей защищаемой информации
- •13.3. Обеспечение взаимодействия между субъектами, защищающими и использующими* информацию ограниченного доступа
- •13.4. Подбор и обучение персонала
- •Тема 14. Материально-техническое и нормативно-методологическое обеспечение комплексной системы защиты информации План
- •14.1. Состав и значение материально-технического обеспечения функционирования ксзи
- •Тема15. Назначение, структура и содержание управления ксзи План
- •15.1. Понятие, сущность и цели управления ксзи
- •15.2. Принципы управления ксзи
- •15.3. Структура процессов управления
- •15.4. Основные процессы, функции и задачи управления ксзи
- •15.5. Основные стили управления
- •15.6. Структура и содержание общей технологии управления ксзи
- •Тема 16. Принципы и методы планирования функционирования ксзи План
- •16.1. Понятие и задачи планирования функционирования ксзи
- •16.2. Способы и стадии планирования
- •16.3. Факторы, влияющие на выбор способов планирования
- •16.4. Основы подготовки и принятия решений при планировании
- •16.5. Методы сбора, обработки и изучения информации, необходимой для планирования
- •16.6. Организация выполнения планов
- •Тема 17. Сущность и содержание контроля функционирования План
- •17.1. Виды контроля функционирования ксзи
- •17.2. Цель проведения контрольных мероприятий в ксзи
- •17.3. Анализ и использование результатов проведения контрольных мероприятий
- •Тема 18. Управление комплексной системой защиты информации в условиях чрезвычайных ситуаций План
- •18.1. Понятие и основные виды чрезвычайных ситуаций
- •18.2. Технология принятия решений в условиях чс
- •18.3. Факторы, влияющие на принятие решений в условиях чс
- •18.4. Подготовка мероприятий на случай возникновения чс
- •Перечень
- •Тема 19. Общая характеристика подходов к оценке эффективности ксзи План
- •19.1. Вероятностный подход
- •19.2. Оценочный подход
- •19.3. Требования рд свт и рд ас
- •19.4. Задание требований безопасности информации и оценка соответствия им согласно гост 15408—2002
- •19.5. Экспериментальный подход
- •Тема 20.
- •20.1. Показатель уровня защищенности, основанный на экспертных оценках
- •Экспертного опроса
- •20.2. Методы проведения экспертного опроса
- •20.3. Экономический подход к оценке эффективности ксзи
- •20.3.1. Определение размеров ущерба
- •20.3.2. Определение размеров ущерба с использованием экспертных оценок
- •(Ущербов)
- •20.3.3. Определение упущенной выгоды в результате ограничений на распространение информации
- •20.3.4. Определение затрат на защиту информации
- •Библиографический список
Тема 3. Факторы, влияющие на организацию ксзи План
3.1Влияние формы собственности на особенности защиты информационного доступа
3.2 Влияние организационно-правовой формы предприятия на особенности защиты информации ограниченного доступа
3.3 Характер основной деятельности предприятия
3.4 Состав, объекты и степень конфиденциальности защищаемой информации
3.5 Структура и территориальное расположения предприятия
3.6 Режим функционирования предприятия
3.7 Конструктивные особенности предприятия
3.8 Количественные и качественные показатели ресурсообеспечения
3.9 степень автоматизации основных процедур обработки защищаемой информации
3.1. Влияние формы собственности на особенности защиты информации ограниченного доступа
Важным фактором, влияющим на организацию К.СЗИ, является форма собственности предприятия. В Российской Федерации формы собственности установлены Конституцией Российское Федерации, Гражданским кодексом Российской Федерации, а также следующими федеральными законами: «О потребительской кооперации в Российской Федерации» от 19 июня 1992 г.; «Об общественных объединениях» от 19 мая 1995 г. № 82-ФЗ; «О благотворительной деятельности и благотворительных организациях»:от 11 августа 1995 г. № 135-ФЗ; «О профессиональных союзах, их правах и гарантиях деятельности» от 12 января 1996 г. № 10-ФЗ;«О внесении изменений и дополнений в Закон Российской Федерации «О потребительской кооперации в Российской Федераций»от И июля 1997 г. № 97-ФЗ; «О свободе совести и о религиозных объединениях» от 26 сентября 1997 г. № 125-ФЗ; «О внесении изменений и дополнений в Федеральный закон «Об общественных объединениях»» от 19 июля 1998 г. № 112-ФЗ; «Об иностранных, инвестициях в Российской Федерации» от 9 июля 1999 г. № 160. Под формой собственности понимаются законодательно урегулированные имущественные отношения, характеризующие закрепление имущества за определенным собственником на праве собственности.
Собственниками имущества могут быть граждане и юридические лица, а также Российская Федерация, субъекты Российской: Федерации — республики, края, области, города федерального,: значения, автономная область, автономные округа, городские и сельские поселения и другие муниципальные образования.
В Российской Федерации признаются частная, государственная, муниципальная и иные формы собственности Общероссийским классификатором форм собственности ОК 027-99* рассматриваются следующие виды собственности:
Российская собственность: государственная (код по классификатору — 11), федеральная (12), субъектов Российской Федерации (13), муниципальная (14), частная (16), российских граждан, Постоянно проживающих за границей (18), потребительской кооперации (19), общественных и религиозных организаций (15), благотворительных организаций (50), политических общественных объединений (51), профессиональных союзов (52), общественных объединений (53), религиозных объединений (54), смешанна (17).
Иностранная собственность: международных организаций (21), иностранных государств (22), иностранных юридических лиц (23), иностранных граждан и лиц без гражданства (24), смешанная (27).
Совместная российская и иностранная собственность: совместная федеральная и иностранная собственность (31), совместная собственность субъектов Российской Федерации и иностранная (32), муниципальная и иностранная (33), совместная частная и иностранная (34), совместная собственность общественных и религиозных организаций и объединений и иностранная (35).
Смешанная российская собственность с долей государственной собственности: смешанная российская с долей федеральной (41), смешанная российская собственность с долей собственности Субъектов (42), российская собственность с долями федеральной собственности и собственности субъектов (43), иная смешанная российская собственность (49).
Форма собственности предприятия в значительной степени определяет виды информации ограниченного доступа, которые могут использоваться предприятием в его деятельности, особенности защиты такой информации, устанавливаемые федеральными органами государственной власти, если предприятие им подведомственно, а также виды информации, которая должна быть доступна, например акционерам, инвесторам и т.п.
Особенности формы собственности предприятия могут исключить возможность использования им в своей деятельности сведений, составляющих государственную тайну.
Так, законодательством в сфере защиты государственной тайны предусмотрена возможность получения лицензии на проведение работ, связанных с использованием сведений, составляющих государственную тайну, только организациями Российской Федерации.
Очевидно, что предприятия с формой собственности п. 21 - 24, 27 классификатора ОК 027-99 к проведению таких работ не допускаются, а предприятия смешанной российской и иностранной собственности могут быть допущены при соблюдении установленных законодательством ограничений. Предприятия, перечисленных форм собственности также ограничиваются в возможности проведения работ в закрытых административно-территориальных образованиях и отраслях промышленности, имеющих для государства стратегическое значение (что связано, втом числе, и с защитой государственной тайны).
Одной из особенностей использования информационных ресурсов, содержащих государственную тайну, является то, что в соответствии со ст. 10 Закона Российской Федерации «О государственной тайне» [20J права собственника информации могут быть ограничены, если информация содержит сведения, составляющие государственную тайну. Распоряжаться такой информацией собственник может только с санкции органа государственной власти, в компетенции которого находится ее засекречивание.
В Российской Федерации не исключается возможность передачи сведений, составляющих государственную тайну, иностранным представителям (в т.ч. и иностранным организациям), а также международным организациям при наличии с иностранным государством (международной организацией) договора о взаимной защите секретной информации.
Тем же законом определено, что не может быть ограничено право собственности на информацию иностранных организаций, иностранных граждан, если эта информация получена (разработана) ими без нарушения законодательства Российской Федерации.
Анализ нормативных документов иностранных государств показывает, что за рубежом также принимаются ограничительный меры в отношении допуска к классифицированной информации* иностранных предприятий или предприятий с долей иностранной собственности.
Так, в США инструкцией по обеспечению секретности в военной промышленности предписано:
подрядчиком секретного заказа не может быть предприятие расположенное за пределами территорий, находящихся под юрисдикцией США;
доля иностранной собственности в предприятии не должна позволять иностранным подданным оказывать неблагоприятное влияние на политику и практику деятельности предприятия;
иностранные подданные, являющиеся персоналом предприятия, не должны допускаться к классифициронаиной (секретной) информации;
иностранные подданные не должны занимать на предприятии Постов (должностей), позволяющих им оказывать неблагоприятное влияние на политику и практику деятельности предприятия.