ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Толкачева Елена Викторовна (Россия, Омск) – кандидат технических наук, доцент кафедры «Информационная безопасность», ФГБОУ ВО «СибАДИ» (644080, г. Омск, пр. Мира, 5, e-mail:

tolkacheva_ev@mail.ru).

Научный руководитель – Семенова Зинаида Васильевна (Россия, г. Омск) доктор педагогических наук, профессор, заведующий кафедрой «Информационная безопасность» ФГБОУ ВО «СибАДИ» (644080,

г. Омск, пр. Мира, 5, e-mail: zvs111@gmail.com).

Mishurin Alexander Olegovich (Russia, Omsk) – head of system security and information security, member of the Interregional public organization Association of managers of information security (ARSIB)( 644007, Omsk, street Kemerovskaya, d. 115, e-mail: amishurin@gmail.com).

Tolkacheva Elena Viktorovna (Russia, Omsk) – candidate of technical Sciences, docent of The Department "Information security", Siberian State Automobile and Highway University (SibADI) (644080, Mira, 5 prospect, Omsk, Russian Federation, e-mail: tolkacheva_ev@mail.ru).

Scientific adviser – Semenova Zinaida Vasilievna (Russian Federation, Omsk) – doctor of pedagogical sciences, professor, head of The Department "Information security" Siberian State Automobile and Highway University (SibADI) (644080, Mira, 5 prospect, Omsk, Russian Federation, e-mail: zvs111@gmail.com.

УДК 004.428

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ НА ЖЕЛЕЗНОДОРОЖНОМ ТРАНСПОРТЕ

INFORMATION SECURITY ON RAILWAY TRANSPORT

756

А.А. Нигрей

ФГБОУ ВО «ОмГУПС», Россия, г. Омск

Аннотация. Рассмотрена главная задача информационной безопасности на железнодорожном транспорте структура, содержание и причины возникновения рисков в системах информационной безопасности. проанализированы существующие механизмы управления рисками и определены направления создания (развития) инструментария управления организационными рисками.

Ключевые слова: информационная безопасность, ликвидация угрозы, риски, конфиденциальность, несанкционированный доступ.

Введение

Инновационное развитие железнодорожного транспортного комплекса России и решение ряда стратегических задач, таких как увеличение объема перевозок, интеллектуализация транспортных систем, повышение управляемости и эффективности бизнес-процессов и др. в

значительной мере возможны только при широком внедрении и использовании информационных систем и обеспечении информационной безопасности.

В настоящее время вопросы информационной безопасности входят в число главных приоритетов крупных мировых компаний. Специалистами информационной безопасности ОАО «РЖД» рассматриваются такие параметры информации (информационных ресурсов), как:

-конфиденциальность – состояние информации, при котором доступ к ней осуществляют

только субъекты, имеющие на него право;

-целостность – предотвращение несанкционированной модификации информации;

-доступность – предотвращение временного или постоянного сокрытия информации от

пользователей, получивших права доступа;

-достоверность – показатель качества информации, означающий её полноту и общую точность.

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Нарушение этих параметров может привести к сбоям в функционировании систем управления технологическими процессами и других критических систем; к разглашению сведений, составляющих коммерческую тайну и другие виды тайн; к нарушению достоверности финансовой документации; к несанкционированному доступу к персональным данным сотрудников и клиентов [1].

Основными причинами аварий и катастроф на железнодорожном транспорте являются неисправности пути, подвижного состава, средств сигнализации и блокировки, ошибки диспетчеров, невнимательность машинистов. Чаще всего происходят сход подвижного состава с рельсов, столкновения, наезды на препятствия на переездах, пожары и взрывы в вагонах. При перевозке опасных грузов (легковоспламеняющиеся, взрывоопасные, ядовитые и радиоактивные вещества) возможны взрывы и пожары, ликвидация которых достаточно сложна.

Акт незаконного вмешательства рассматривается как противоправное действие (бездействие), в том числе террористический акт, угрожающее безопасной деятельности железнодорожного транспортного комплекса, повлекшее за собой причинение вреда жизни и здоровью людей, материальный ущерб либо создавшее угрозу наступления таких последствий [2].

Информационная безопасность организации – это состояние защищенности информационной

среды организации, обеспечивающее ее формирование, использование и развитие.

Главная задача информационной безопасности (ИБ) на железнодорожном транспорте –

моментальная ликвидация угрозы, а также непрерывное и эффективное обеспечение информационной безопасности ОАО «РЖД» и защиты информации для достижения

максимальной эффективности работы железнодорожного транспорта.

Угрозой информационной безопасности называется возможность реализации воздействия на информацию, обрабатываемую автоматизированной системой (АС), приводящего к искажению, уничтожению, копированию, блокированию доступа к информации, а также возможность воздействия на компоненты АС, приводящего к утрате, уничтожению или сбою функционирования носителя информации, средства взаимодействия с носителем или средства

его управления. 757 Чаще всего угроза является следствием наличия уязвимых мест в защите информационных

систем, а именно таких, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении.

Угрозы можно классифицировать по нескольким критериям:

-по важнейшим составляющим информационной безопасности (доступность, целостность, конфиденциальность), против которых направлены угрозы в первую очередь;

-по компонентам информационных систем (данные, программно-аппаратные комплексы,

сети, поддерживающая инфраструктура), на которые угрозы непосредственно нацелены;

-по способу осуществления (случайные или преднамеренные действия, события техногенного или природного масштаба).

Одна из возможных моделей классификации угроз информационной безопасности представлена на рисунке 1 [2].

Угрозы классифицируются по возможности нанесения ущерба субъекту отношений при нарушении целей безопасности. Ущерб может быть причинен каким-либо субъектом (преступление, вина или

небрежность), а также стать следствием, не зависящим от субъекта проявлений.

Угроз не так уж и много. При обеспечении конфиденциальности информации это может быть хищение (копирование) информации и средств ее обработки, а также ее утрата

(неумышленная потеря, утечка).

В условиях непрерывного совершенствования технологий управления железнодорожным транспортом, создания новых технических и технологических систем с высоким уровнем информатизации, а также в связи с возникновением новых угроз информационной безопасности, одновременно с разработкой автоматизированных систем, специалисты по информационной безопасности производят:

-проектирование и внедрение комплексных систем защиты информации;

-обеспечение защиты персональных данных на объектах информатизации;

-внедрение технических средств защиты сведений ограниченного доступа;

-аудит и аттестацию объектов информатизации на соответствие требованиям

информационной безопасности.

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Рисунок 1 – Модель возможных угроз системе информационной безопасности

иосновные классы методов защиты

Внастоящее время комплексы средств защиты информации разработаны и внедрены на всех основных объектах информатизации ОАО «РЖД».

Модель построения системы информационной безопасности на рисунке 2 основана на адаптации к действующему объекту (ISO 15408) и проведении анализа риска (ISO 17799) [3]. Анализ информационных рисков – это процесс комплексной оценки защищенности

информационной системы с переходом к количественным или качественным показателям

Рисунок 2 – Модель построения системы информационной безопасности

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

При выявлении актуальных угроз экспертно-аналитическим методом определяются объекты

защиты, подверженные воздействию той или иной угрозы, характерные источники этих угроз и уязвимости, способствующие реализации угроз.

На основании анализа составляется матрица взаимосвязи источников угроз и уязвимостей, из которой определяются возможные последствия реализации угроз (атаки) и вычисляется коэффициент значимости (степени опасности) этих атак как произведение коэффициентов опасности соответствующих угроз и источников угроз, определенных ранее.

Благодаря такому подходу возможно:

•установить приоритеты целей безопасности для субъекта отношений;

•определить перечень актуальных источников угроз;

•определить перечень актуальных уязвимостей;

•оценить взаимосвязь уязвимостей, источников угроз, возможности их осуществления;

•определить перечень возможных атак на объект;

•разработать сценарии возможных атак;

•описать возможные последствия реализации угроз;

•разработать комплекс защитных мер и систему управления экономической и информационной безопасностью предприятия.

Выше было отмечено, что самыми частыми и самыми опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы. Иногда такие ошибки и являются собственно угрозами (неправильно введенные данные или ошибка в программе, вызвавшая крах системы), иногда они создают уязвимые места, которыми могут

воспользоваться злоумышленники (таковы обычно ошибки администрирования). По некоторым

данным, до 65% потерь возникают из-за непреднамеренных ошибок, совершенных по

неосторожности, халатности или несоответствующей подготовки персонала.

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

ИИХ БЕЗОПАСНОСТЬ

Вначале 2000-х годов была создана и развивается система обеспечения информационной

безопасности (СОИБ), одним из функциональных направлений которой является совершенствование системы опережающей подготовки специалистов в области информационной безопасности, и защиты информации, в том числе в вузах железнодорожного транспорта.

Мероприятия, направленные на информационную безопасность на железнодорожном транспорте:

1. Разграничение информационных ресурсов в информационной системе ОАО «РЖД» (ИС) на категории по уровням доступа к ним. Информационные ресурсы представляют собой документы в электронной форме, базы данных и программное обеспечение, используемые для обеспечения функционирования железнодорожного транспорта. Вся информация, представляемая пользователям, подразделяется на два класса:

-общедоступная информация;

-информация с ограниченным доступом.

передаваемой средствами и системами вычислительной техники и связи в ИС ОАО «РЖД» России. Допуск пользователей к информационным ресурсам осуществляется на основе взаимодействия трех рубежей защиты:

-системы пропуска персонала в здания ОАО «РЖД» России и управлений железных дорог;

-технической системы контроля за пропуском персонала на объекты ИС ОАО «РЖД» России;

-программно-технической системы обеспечения доступа пользователей к информационным

ресурсам железнодорожного транспорта с рабочих станций.

4. Контроль, осуществляемый за электронным документооборотом, а именно:

-пользователь, разрабатывающий электронные документы, должен иметь персональную электронную подпись;

-при отправлении по электронной почте указанных документов должны передаваться все подписи, подтверждающие их информационные элементы. Получатель документа, переданного по почте, должен иметь возможность проверить подписи в документе;

-на сервере ИС ОАО «РЖД» России должна быть создана база данных документов. Документ заносится в базу данных документов путем отправки на указанный сервер по электронной почте;

-при создании бумажной версии документа ответственный исполнитель должен зафиксировать данный факт на электронной версии и указать на бумажной копии название электронной версии под свою подпись [5].

Вся информация, предоставляемая пользователям, подлежит анализу с точки зрения ее конфиденциальности и (или) секретности.

-на каждого пользователя в организации обработки информации заводится регистрационная карточка, в которую заносится перечень всех задач и документов, выдаваемых пользователю;

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.