
- •Федеральное государственное бюджетное образовательное учреждение высшего профессионального образования «Тульский государственный университет»
- •Конспект лекций
- •Комплексная система защиты информации на предприятии
- •090900 «Информационная безопасность»
- •Содержание
- •Тема 1. Сущность и задачи комплексной защиты информации
- •Тема 2. Принципы организации и этапы разработки ксзи
- •Тема 3. Факторы, влияющие на организацию ксзи
- •Тема 4. Определение и нормативное закрепление состава защищаемой информации
- •Тема 5. Определение объектов защиты
- •Тема 10. Определение условий функционирования ксзи
- •Тема 11. Разработка модели ксзи
- •Тема 12. Технологическое и организационное построение ксзи
- •Тема 13. Кадровое обеспечение функционирования комплексной системы защиты информации
- •Введение
- •Тема 1 Сущность и задачи комплексной защиты информации План
- •1.2. Цели, задачи и принципы построения ксзи
- •1.3. О понятиях безопасности и защищенности
- •1.4. Разумная достаточность и экономическая эффективность
- •1.5. Управление безопасностью предприятия. Международные стандарты
- •1.6. Цели и задачи защиты информации в автоматизированных системах
- •1.7. Современное понимание методологии защиты информации
- •1.7.1. Особенности национального технического регулирования
- •1.7.2. Что понимается под безопасностью ит?
- •1.7.3. Документы пользователя
- •1.7.4. Требования к средствам обеспечения безопасности
- •Тема 2. Принципы организации и этапы разработки ксзи План
- •2.1. Методологические основы организации ксзи
- •2.2. Разработка политики безопасности и регламента безопасности предприятия
- •2.3. Основные положения теории сложных систем
- •2.4. Система управления информационной безопасностью предприятия. Принципы построения и взаимодействие с другими
- •2.5. Требования, предъявляемые к ксзи
- •2.5.1. Требования к организационной и технической составляющим ксзи
- •2.5.2. Требования по безопасности, предъявляемые к изделиям ит
- •2.6. Этапы разработки ксзи
- •Тема 3. Факторы, влияющие на организацию ксзи План
- •3.1. Влияние формы собственности на особенности защиты информации ограниченного доступа
- •3.2. Влияние организационно-правовой формы предприятия на особенности защиты информации ограниченного доступа
- •3.3. Характер основной деятельности предприятия
- •3.4. Состав, объекты и степень конфиденциальности защищаемой информации
- •3.5. Структура и территориальное расположение предприятия
- •3.6. Режим функционирования предприятия
- •3.7. Конструктивные особенности предприятия
- •3.8. Количественные и качественные показатели ресурсообеспечения
- •3.9. Степень автоматизации основных
- •Тема 4. Определение и нормативное закрепление состава защищаемой информации План
- •4.2. Нормативно-правовые аспекты определения состава защищаемой информации
- •4.2.1. Решение задачи 1
- •4.2.2. Решение задачи 2
- •4.2.3. Определение состава защищаемой информации, отнесенной к коммерческой тайне предприятия
- •4.3. Методика определения состава защищаемой информации
- •6.1. Составление предварительного Перечня.
- •6.2. Определение возможного ущерба, наступающего в результате несанкционированного распространения кт.
- •4.4. Порядок внедрения Перечня сведений, составляющих кт, внесение в него изменений и дополнений
- •Тема 5. Определение объектов защиты План
- •5.2. Методика выявления состава носителей защищаемой информации
- •5.3. Особенности взаимоотношений с контрагентами как объект защиты информации ограниченного доступа
- •5.4. Факторы, определяющие необходимость защиты периметра и здания предприятия
- •5.5. Особенности помещений как объектов защиты для работы по защите информации
- •Основные принципы оборудования сигнализацией.
- •Сейфы и хранилища ценностей
- •5.6. Транспортные средства и особенности транспортировки
- •5.7. Состав средств обеспечения, подлежащих защите
- •Тема 6. Дестабилизирующие воздействия на информацию и их нейтрализация План
- •6.1. Факторы, создающие угрозу информационной безопасности
- •6.2. Угрозы безопасности информации
- •6.3. Модели нарушителей безопасности ас
- •6.4. Подходы к оценке ущерба от нарушений иб
- •6.5. Обеспечение безопасности информации в непредвиденных ситуациях
- •6.6. Реагирование на инциденты иб
- •6.7. Резервирование информации и отказоустойчивость
- •Тема 7. Определение потенциальных каналов и методов несанкционированного доступа к информации План
- •7.1. Технические каналы утечки информации, их классификация
- •7.2. Задачи ксзи по выявлению угроз и куи
- •7.3. Особенности защиты речевой информации
- •7.4. Особенности защиты компьютерной информации от утечки по каналам пэмин
- •Тема 8. Определение возможностей несанкционированного доступа к защищаемой информации План
- •8.1. Методы и способы защиты информации
- •8.2. Классификация сзи нсд
- •8.3. Механизмы обеспечения безопасности информации
- •8.3.1. Идентификация и аутентификация
- •8.3.2. Разграничение доступа
- •8.3.3. Регистрация и аудит
- •8.3.4. Криптографическая подсистема
- •8.3.5. Межсетевое экранирование
- •8.4. Методика выявления нарушителей, тактики их действий и состава интересующей их информации
- •Тема 9. Определение компонентов ксзи План
- •9.1. Особенности синтеза сзи ас от нсд
- •9.2. Методика синтеза сзи
- •9.2.1. Общее описание архитектуры ас, системы f защиты информации и политики безопасности
- •9.2.2. Формализация описания архитектуры исследуемой ас
- •9.2.3. Формулирование требований к системе защиты информации
- •9.2.4. Выбор механизмов и средств защиты информации
- •9.2.5. Определение важности параметров средств защиты информации
- •9.3. Оптимальное построение системы защиты для ас
- •9.4. Выбор структуры сзи ас
- •9.5. Проектирование системы защиты информации для существующей ас
- •Тема 10. Определение условий функционирования ксзи План
- •10.1. Содержание концепции построения ксзй
- •10.2. Объекты защиты
- •10.3. Цели и задачи обеспечения безопасности информации
- •10.4. Основные угрозы безопасности информации ас организации
- •10.5. Основные положения технической политики в области обеспечения безопасности информации ас организации
- •10.6. Основные принципы построения ксзи
- •10.7. Меры, методы и средства обеспечения требуемого уровня защищенности информационных ресурсов
- •10.8. Первоочередные мероприятия по обеспечению безопасности информации ас организации
- •Тема 11. Разработка модели ксзи План
- •11.2. Формальные модели безопасности и их анализ
- •11.2.1. Классификация формальных моделей безопасности
- •11.2.2. Модели обеспечения конфиденциальности
- •11.2.3. Модели обеспечения целостности
- •11.2.4. Субъектно-ориентированная модель
- •11.3. Прикладные модели защиты информации в ac
- •11.4. Формальное построение модели защиты: пример
- •11.4.1. Описание объекта защиты
- •11.4.2. Декомпозиция ас на субъекты и объекты
- •11.4.3. Модель безопасности: неформальное описание
- •11.4.4. Декомпозиция системы защиты информации
- •11.4.5. Противостояние угрозам. Реализация системы защиты информации субъекта ас субъектно-объектной модели
- •11.5. Формализация модели безопасности
- •11.5.1. Процедура создания пары субъект—объект, наделение их атрибутами безопасности
- •11.5.2. Осуществление доступа субъекта к объекту
- •11.5.3. Взаимодействие с внешними сетями
- •11.5.4. Удаление субъекта — объекта
- •Тема 12. Технологическое и организационное построение ксзи План
- •12.2. Характеристика основных стадий создания ксзи
- •12.3. Назначение и структура технического задания (общие требования к содержанию)
- •12.4. Предпроектное обследование, технический проект, рабочий проект.
- •Тема 13. Кадровое обеспечение функционирования комплексной системы защиты информации План
- •13.2. Распределение функций по защите информации
- •13.2.1. Функции руководства предприятия
- •13.2.2. Функции службы защиты информации
- •13.2.3. Функции специальных комиссий
- •13.2.4. Обязанности пользователей защищаемой информации
- •13.3. Обеспечение взаимодействия между субъектами, защищающими и использующими* информацию ограниченного доступа
- •13.4. Подбор и обучение персонала
- •Тема 14. Материально-техническое и нормативно-методологическое обеспечение комплексной системы защиты информации План
- •14.1. Состав и значение материально-технического обеспечения функционирования ксзи
- •Тема15. Назначение, структура и содержание управления ксзи План
- •15.1. Понятие, сущность и цели управления ксзи
- •15.2. Принципы управления ксзи
- •15.3. Структура процессов управления
- •15.4. Основные процессы, функции и задачи управления ксзи
- •15.5. Основные стили управления
- •15.6. Структура и содержание общей технологии управления ксзи
- •Тема 16. Принципы и методы планирования функционирования ксзи План
- •16.1. Понятие и задачи планирования функционирования ксзи
- •16.2. Способы и стадии планирования
- •16.3. Факторы, влияющие на выбор способов планирования
- •16.4. Основы подготовки и принятия решений при планировании
- •16.5. Методы сбора, обработки и изучения информации, необходимой для планирования
- •16.6. Организация выполнения планов
- •Тема 17. Сущность и содержание контроля функционирования План
- •17.1. Виды контроля функционирования ксзи
- •17.2. Цель проведения контрольных мероприятий в ксзи
- •17.3. Анализ и использование результатов проведения контрольных мероприятий
- •Тема 18. Управление комплексной системой защиты информации в условиях чрезвычайных ситуаций План
- •18.1. Понятие и основные виды чрезвычайных ситуаций
- •18.2. Технология принятия решений в условиях чс
- •18.3. Факторы, влияющие на принятие решений в условиях чс
- •18.4. Подготовка мероприятий на случай возникновения чс
- •Перечень
- •Тема 19. Общая характеристика подходов к оценке эффективности ксзи План
- •19.1. Вероятностный подход
- •19.2. Оценочный подход
- •19.3. Требования рд свт и рд ас
- •19.4. Задание требований безопасности информации и оценка соответствия им согласно гост 15408—2002
- •19.5. Экспериментальный подход
- •Тема 20.
- •20.1. Показатель уровня защищенности, основанный на экспертных оценках
- •Экспертного опроса
- •20.2. Методы проведения экспертного опроса
- •20.3. Экономический подход к оценке эффективности ксзи
- •20.3.1. Определение размеров ущерба
- •20.3.2. Определение размеров ущерба с использованием экспертных оценок
- •(Ущербов)
- •20.3.3. Определение упущенной выгоды в результате ограничений на распространение информации
- •20.3.4. Определение затрат на защиту информации
- •Библиографический список
Тема15. Назначение, структура и содержание управления ксзи План
15.1 Понятие, сущность и цели управления КСЗИ
15.2 Принципу управления КСЗИ
15.3 Структура процессов управления
15.4 Основные процессы, функции и задачи управления КСЗИ
15.5 Основные стили управления
15.6 структура и содержание общей технологии управления КСЗИ
15.1. Понятие, сущность и цели управления ксзи
Теория и практика обеспечения эффективности функционирования сложных организованных систем, к которым, вне всяких сомнений, относится и КСЗИ, немыслимы без применения современных технологий управления.
Существует ряд определений управления как процесса.
Управление — элемент, функция организованных систем различной природы (биологических, социальных, технических), обеспечивающая сохранение их определенной структуры, поддержание режима деятельности, реализацию программы, целей деятельности.
Управление — процесс осуществления информационных воздействий на объекты управления для формирования их целенаправленного поведения.
Существуют и другие определения, зависящие от того, в какой сфере осуществляется управление. Вместе с тем где бы ни протекали процессы управления — при управлении КСЗИ, в управляющих устройствах автоматических систем, в нервной системе человека, в экономических и других структурах общества, они подчиняются единым законам. Эти наиболее общие законы управления системами различной природы изучает наука об управлении — кибернетика.
С позиций кибернетики управление определяется как функция системы управления, обеспечивающая организацию целенаправленной деятельности управляемой системы.
Таким образом, смысл и цель управления в КСЗИ состоит в таких изменениях организационной структуры сил и средств ЗИ, их состояния, методов и способов применения, которые обеспечивают максимальную эффективность их применения для достижения целей зашиты информации.
Необходимо отметить, что управление возможно не во всех системах (подсистемах), а только в тех, которым присущ ряд свойств.
• В сохранении системы как целого решающая роль принадлежит информационным связям. Без обмена информацией между составляющими элементами такие системы не могут функционировать. Ослабление или потеря информационных связей между элементами системы неизбежно приводит к разрушению всех других связей и, как следствие, к распаду (разрушению) самой системы.
• Система способна переходить в различные состояния в соответствии с управляющими (информационными) воздействиями.
• Существует несколько допустимых линий поведения систем мы, из которых орган управления выбирает наиболее предпочти- ; тельную по тем или иным критериям. Если возможности выбора лучшей линии поведения нет, то управление теряет смысл, т.е. фактически отсутствует.
• Процесс функционирования системы отличается целенаправленностью. Если цель не определена (или неизвестна), то, естественно, управление становится бессмысленным.
• Система открыта для внешнего воздействия, т.е. влияние внег шних воздействий может иметь самые различные природу и. nor: следствия.
Системы, обладающие перечисленными особенностями, называются системами с управлением. К таким системам относится и система управления КСЗИ (СУ КСЗИ).
СУ КСЗИ имеют ряд особенностей. Они предназначены для функционирования в конфликтных ситуациях, так как ЗИ предоставляет собой сложный двусторонний процесс (СУ КСЗИ «злоумышленник»). СУ КСЗИ может подвергаться различным видам, воздействия со стороны злоумышленника (взлом, несанкционированный доступ, уничтожение информации и т.п.), что, как правило, приводит к нарушению функционирования как составляющих систему элементов, так и системы в целом. Информация, на основе которой вырабатываются управляющие воздействия (производится выбор средств, методов и способов ЗИ), отличается значительной неполнотой, недостоверностью и противоречивостью. Злоумышленник постоянно изменяет средства и методы воздействия на систему.
Сущность управления КСЗИ заключается в целенаправленной деятельности руководства предприятия, должностных и службы ЗИ, направленной на достижение полей зашиты информации.
Статьей 16 Федерального закона «Об информации, информационных технологиях и защите информации» [45] определены следующие цели защиты информации:
1) обеспечение защиты информации от неправомерного доступ па, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализация права на доступ к информации.
Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в п. 1 иЗ.
В соответствии с положениями закона управление КСЗИ предназначено для обеспечения эффективного решения следующих задач:
1) предотвращения несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременного обнаружения фактов несанкционированного доступа к информации;
.3) предупреждения возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущения воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянного контроля за обеспечением уровня защищенности информации.
Достижение основных целей ЗИ связано с решением целого круга задач, составляющих содержание управления КСЗИ. Основными из них являются:
1) непрерывное добывание, сбор, изучение и анализ данных обстановки;
2) поддержание системы в постоянной готовности к выполнению задач ЗИ;
3) принятие решений по ЗИ;
4) доведение задач до подчиненных;
5) планирование мероприятий ЗИ;
6) организация и поддержание взаимодействия структурных подразделений предприятия;
7) всестороннее обеспечение мероприятий ЗИ;
8) организация управления, под которой понимается создание системы управления, обеспечение ее эффективного функционирования (в том числе и защита системы, управления от всех видов воздействия злоумышленника), а также совершенствование этой системы с применением, прежде всего, новых информационных технологий;
9) управление подготовкой подразделений ЗИ;
10) организация и осуществление контроля и помощи подчиненным.
Необходимо отметить, что среди указанных задач особое место занимает принятие решения, которое является центральным моментом, ядром управления. Согласно теории управления принятие решения в системах управления является прерогативой человека (руководителя).
Суть принятия решения состоит в том, что руководитель (начальник) должен творчески и ответственно определить:
1) замысел ЗИ;
2) задачи подразделениям и подчиненным;
3) основные вопросы взаимодействия и обеспечения;
4) организацию управления.
Следует подчеркнуть особую роль руководителя при принятии решения. В современных условиях принятие решения всегда осуществляется в условиях жесткого дефицита времени, нехватки исходной информации, а также в условиях ведения информационной войны. Чтобы комплексно решать все задачи управления; необходимо создать стройную систему управления, на научной основе организовать работу подчиненных, а также важно применять современные методы и средства управленческой, работы, основанные на широком использовании новых информационными сетевых технологий.
Принимая решение, руководитель должен учитывать объективные законы управления, которые выражают наиболее существенные связи и отношения различных сторон управления между собой и с внешней средой:
• зависимость организационных форм и методов управления КСЗИ от структуры предприятия, материально-технической базы и условий управления;
• единство организационно-методологических основ на всех уровнях управления КСЗИ;
• сохранение пропорциональности и оптимального соотношения всех элементов системы управления;
• совместимость систем и средств управления подчиненных предприятию организаций, а также взаимодействующих организаций;
• единство и соподчиненность критериев эффективности, используемых при управлении КСЗИ;
• соответствие потребного и располагаемого времени при решении задач управления;
• зависимость эффективности решения задач управления от1 объема используемой информации и т.д.