Список використаних джерел

1.PAS 96:2014 Guide to protecting and defending food and drink from deliberate attack [Електронний ресурс] – Режим доступу: https://www.food.gov.uk/sites/default/files/pas96-2014-food-drink-protection-guide.pdf

УДК 352:631.11(1-22)

Чеплік І.Д.,

студент,

Єдинович М.Б. ,

к.т.н., доц. каф. технічної кібернетики,

Херсонський національний технічний університет

Застосування вимог стандарту iso/iec 27002:2013 для вдосконалення інформаційної безпеки асу на херсонському комбінаті хлібопродуктів

Інформація - це актив, який, подібно іншим активам організації, має цінність і, отже, повинен бути захищений належним чином. Інформаційна безпека захищає інформацію від широкого діапазону загроз із метою забезпечення успішності бізнесу, мінімізації збитків, одержання максимальної віддачі від інвестицій, а також реалізації потенційних можливостей підприємства.

Інформаційна безпека забезпечує:

• конфіденційність: доступ до інформації тільки авторизованих користувачів;

• цілісність: достовірність і повноту інформації й методів її обробки;

• доступність: доступ до інформації і пов'язаним з нею активам авторизованих користувачів у міру необхідності.

Інформаційна безпека досягається шляхом реалізації вимог стандарту ISO/IEC 27002:2013 [1] щодо управління інформаційною безпекою, які можуть бути представлені політиками, методами, процедурами, організаційними структурами й функціями програмного забезпечення.

Поточна версія стандарту складається з наступних основних розділів:

• Політика безпеки (Security policy)

• Організація інформаційної безпеки (Organization of information security)

• Управління ресурсами (Asset management)

• Безпека людських ресурсів (Human resources security)

• Фізична безпека й безпека оточення (Physical and environmental security)

• Управління передачею даних і операційною діяльністю (Communications and operations management)

• Контроль доступу (Access control)

• Розробка й обслуговування систем (Information systems acquisition, development and maintenance)

• Управління розслідуванням інцидентів інформаційної безпеки (Information security incident management)

• Управління безперервністю бізнесу (Business continuity management)

• Відповідність нормативним вимогам (Compliance)

Аналіз структури та відповідних інформаційних потоків Херсонського комбінату хлібопродуктів (ХКХП) дозволив виявити вразливі місця в АСУ підприємства. Наприклад, особливості платформи "1С: Підприємство 7.7" не дозволяють забезпечити захист вище класу 3 відповідно до вимог закону України № 5491-VI від 20.11.2012 [2]. Ця проблема була вирішена шляхом переходу на версію 8.1, що відповідає основним вимогам стандарту ISO/IEC 27002:2013.

Але найбільш серйозним недоліком системи безпеки АСУ на ХКХП виявилася відсутність чітко визначеного алгоритму контролю і управління розмежуванням доступу до інформації. Окремо присутні елементи захисту (пароль, права, інтерфейси) у більшості випадків можуть тільки убезпечити систему від випадкових дій користувача. Для боротьби зі спрямованими спробами несанкціонованого доступу було запропоновано більш досконалий алгоритм доступу користувачів до системи АСУ. Програмна реалізація цього алгоритму на комп’ютерах підприємства значно підвищує захищеність системи.

Також було приділено значну увагу організаційним заходам підвищення рівня безпеки. Насамперед це ведення реєстраційного журналу подій. Журнали реєстрації можуть допомогти виявити користувачів, які випадково допускали помилки, і надати їм допомогу в придбанні навичок, необхідних для роботи. Журнали можуть також показувати, що деякі користувачі або термінали ніколи не звертаються до елементу даних, і профілі їх повноважень можуть бути скорочені. Журнали можуть служити інструментом психологічного впливу на потенційних порушників. Крім того, вони часто використовуються для повернення системи в початковий стан і відновлення наборів даних, які були спотворені під час неполадок в системі.

Таким чином, застосування підходів, рекомендованих стандартом ISO/IEC 27002:2013 дозволяє провести системний аналіз проблем інформаційної безпеки автоматизованих систем управління та запропонувати ефективні способи їхнього розв’язання.