ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

УДК 004

ОСОБЕННОСТИ БЛОКИРОВКИ ДАННЫХ В КОНСУЛЬТАЦИОННОЙ ИНФОРМАЦИОННОЙ СИСТЕМЕ «ФУТБОЛЬНЫЙ ТРАНСФЕРНЫЙ РЫНОК»

FEATURES DATA LOCK IN CONSULTING INFORMATION SYSTEM

"FOOTBALL TRANSFER MARKET"

Д.С. Русаков

Сибирский государственный автомобильно-дорожный университет (СибАДИ), Россия, г. Омск

свободного агента.

Учет всех профессиональных футболистов, клубов, а также консультация по трансферным переходам производится сотрудниками «РФС». Их деятельность заключается в получении данных о сделках между объектами трансферного рынка, и консультации о возможностях расторжения или заключения контрактов. Также сотрудники федерации следят за правильностью заполнения контрактов исходя из регламента «РФС» и даты проведения торговли в отведенное для этого время – «Трансферное окно». Все эти возможности

открываются в консультационной информационной системе «Футбольный трансферный рынок». Данная система является актуальной потому что позволяет удобно и быстро производить все выше перечисленные операции.

Основные аспекты безопасности системы

Любая информационная система должны быть защищена от доступа к ней посторонних пользователей, для чего существует их авторизация (как правило, на основе логина и пароля).

Для того, чтобы предотвратить кражу пароля, необходимо хранить его в защищенном виде. Чтобы реализовать данный аспект безопасности, в информационной системе «Футбольный трансферный рынок» используется функция хеширования MD5.

При совершенно необратимом шифровании, информация обычно зашифровывается так, что совершенно не подлежит обратной расшифровке. Функции хеширования - это как раз такие функции, с помощью которых происходит реализация однонаправленного хеширования [2].

Главным вопросом для любой серьезной организации, в которой хранится конфиденциальная информация пользователей, остается – каким способом хранить эту самую

информацию?

Ответ очевиден, конечно, шифровать. Поэтому в данной информационной системе используется алгоритм шифрования DES. Данный алгоритм обладает рядам важных

достоинств. Приведем основные из них. Достоинства алгоритма DES [3]:

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

ИИХ БЕЗОПАСНОСТЬ

•используется только один ключ длиной 56 битов;

•зашифровав сообщение с помощью одного пакета, для расшифровки вы можете использовать любой другой;

•относительная простота алгоритма обеспечивает высокую скорость обработки информации;

•достаточно высокая стойкость алгоритма.

Основным и ключевым аспектом безопасности в информационной системе «Футбольный трансферный рынок» является блокировка данных.

Для разработанной справочно-информационной системы было определено две роли и две

должности.

Роли и их краткая характеристика: 1) администратор – пользователь с данной ролью

имеет доступ ко всей базе данных и функционалу информационной системы в зависимости от своей должности в организации. Он наделен возможностью регистрировать и удалять новых пользователей, а также наделять их определенными ролями; 2) редактор – данная роль имеет

доступ ко всем таблицам БД кроме таблиц регламента «РФС» и пользователей информационной системы, он имеет возможность добавлять, редактировать и удалять данные.

Должности их краткая характеристика: 1) президент – является главной личностью в

информационной системе, имеет максимальные права. Наделен ролью администратора. Отличие его прав от других пользователей в том, что он имеет право изменять регламент «РФС»; 2) сотрудник – пользователь, который может быть наделен ролью как администратора,

так и редактора.

Исходя из представленной информации о ролях системы и должностях в организации, можно выявить такой аспект безопасности, как блокировку данных. Это означает, что пользователь с ролью «Редактор» и должностью «Сотрудник» имеет право только редактировать данные касающиеся футболистов, клубов и контрактов, но не имеет доступа к таблицам «Пользователи» и «Регламент».

Также в системе могут быть еще два вида пользователей. Первый с ролью 763 «Администратор» и должностью «Сотрудник», что означает, что данный пользователь имеет доступ ко всей базе данных, кроме таблицы «Регламент». Второй и единственный среди пользователей - человек с должностью «Президент» и ролью «Администратор», имеющий

полноценный доступ ко всем таблицам и возможностью редактирования всех учетных записей пользователей данной информационной системы.

Схема построения блокировки данных среди пользователей консультационной информационной системы «Футбольный трансферный рынок» представлена на рисунке 1.

Рисунок 1 – Схема блокировки данных среди пользователей консультационной

информационной системы «Футбольный трансферный рынок»

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Заключение

В данной статье были рассмотрены основные аспекты безопасности консультационной информационной системы «Футбольный трансферный рынок. При рассмотрении системы можно сделать вывод, что каждый пользователь, имея свою роль и должность, сочетает определенные права, с помощью которых осуществляется доступ к конкретной информации. Данные права могут быть расширены или ограничены в зависимости от положения пользователя в информационной системе. Конфиденциальные данные пользователей должны быть надежно защищены с помощью современных методов шифрования.

Библиографический список

1. Аналитика о популярности футбола или футбольная бухгалтерия [Электронный ресурс]. — Режим

доступа: http://www.goalbox.ru/2009/09/25/analitika-o-populyarnosti-futbola-ili-futbolnaya-buxgalteriya (дата обращения: 26.01.2017).

2.Шифрование в MD5 [Электронный ресурс]. — Режим доступа: http://inviznet.ru/md5.php (дата обращения: 26.01.2017).

3.Американский стандарт шифрования данных DES [Электронный ресурс]. — Режим доступа: http://www.studfiles.ru/preview/6211060/page:5/ (дата обращения: 26.01.2017).

FEATURES DATA LOCK IN CONSULTING INFORMATION SYSTEM "FOOTBALL TRANSFER MARKET"

D.S. Rusakov

Abstract. Any information system needs to be adequately protected in order to eliminate its natural vulnerabilities and ensure the safe operation of all system resources. Therefore, based on the security consulting information system "Football transfer market" founded modern methods of information encryption.

Русаков Дмитрий Сергеевич (Россия, г. Омск) – студент группы БИб-13И1 ФГБОУ ВО «СибАДИ»

(644080, г. Омск, пр. Мира, 5, e-mail: rusachok@inbox.ru).

Rusakov Dmitry Sergeevich (Russian Federation, Omsk) – student of group BIb-13I1 of The Siberian State Automobile and Highway University (SibADI) (644080, Mira, 5 prospect, Omsk, Russian Federation, e-mail: rusachok@inbox.ru).

УДК 004.056

МЕТОДИЧЕСКИЕ ПОДХОДЫ ПО ОТБОРУ ПЕРСОНАЛА ЦЕНТРОВ МОНИТОРИНГА И РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

METHODOLOGICAL APPROACHES ON THE PERSONNEL

SCREENING SECURITY OPERATIONS CENTRES

В.В. Чудиновских1, А.О. Мишурин2

1 Сибирский государственный автомобильно-дорожный университет (СибАДИ), Россия, г. Омск 2Главное государственно-правовое управление Омской области, Россия, г. Омск

Аннотация. В основе методических подходов по отбору персонала для центров мониторинга и реагирования на инциденты информационной безопасности является персонал как наиболее важный компонент таких центров. Также предлагаются варианты, как правильно подобрать персонал для эффективной работы центра мониторинга и реагирования на инциденты информационной безопасности, какими умениями и навыками

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

должен обладать кандидат и какие существуют методические подходы по отбору персонала центра мониторинга и реагирования на инциденты информационной безопасности.

Ключевые слова: центр мониторинга и реагирования на инциденты информационной безопасности, информационная безопасность, инцидент, персонал, методические подходы.

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Рисунок 1 – Составляющие части Центра мониторинга [2]

1.Рассмотреть полные сведения об образовании, включая образование, полученное в учебном заведении и профессиональную аттестацию, повышение квалификации, самостоятельное обучение, приобретённый опыт;

2.Конкретизировать процесс собеседования, чтобы обратить внимание на нестандартное мышление с помощью открытых вопросов и узнать основные подготовительные знания, например, такие как понимание стека протоколов TCP/IP, администрирования Linux систем и программирование;

3.Искать специалиста, который имеет сочетание соответствующих навыков таких как разработка программного обеспечения, оценивание уязвимостей/тестирование на возможность проникновения в систему, администрирование системы, и который может быстро адаптироваться в защищенной вычислительной сети;

4.Во время собеседования искать личные качества, которые будут означать, что кандидат имеет увлечение к виртуальности, обладает коммуникативными способностями, умеет работать в команде, ориентирован на быстрое реагирование и стремится к знаниям;

5.Прислушаться к рекомендациям действующих сотрудников, которые предлагают знакомых с интересом к защищенной вычислительной сети, даже если их опыт в информационной сфере недостаточно большой;

6.При приеме на работу управляющего или руководителя обеспечить проверку документов, подтверждающих квалификацию и также ознакомиться на практике со знаниями информационных технологий с большой точностью;

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

Следовательно, исходя из трудовых функций, описанных в профессиональном стандарте, можно обозначить и трудовые действия, которые относятся к направлению аналитика центра мониторинга:

1.Обнаружение и идентификация инцидентов в процессе эксплуатации автоматизированной системы.

2.Устранение инцидентов, возникших в процессе эксплуатации автоматизированной системы.

3.Оценка защищенности автоматизированных систем.

4.Инструментальный контроль показателей эффективности защиты информации.

5.Информирование пользователей о правилах эксплуатации автоматизированной системы с учетом требований по защите информации.

6.Оценка последствий от реализации угроз безопасности информации в автоматизированной системе.

7.Анализ изменения угроз безопасности информации автоматизированной системы, возникающих в ходе ее эксплуатации.

8.Устранение неисправностей в работе системы защиты информации автоматизированной системы.

9.Восстановление после сбоев и отказов программного обеспечения автоматизированных

систем.

10.Оценка информационных рисков.

11.Экспертиза состояния защищенности информации автоматизированных систем.

12.Определение правил и процедур выявления инцидентов.

13.Выявление основных угроз безопасности информации в автоматизированных системах.

14.Составление методик тестирования систем защиты информации автоматизированных

систем.

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

ИИХ БЕЗОПАСНОСТЬ

15.Разработка модели угроз безопасности информации и модели нарушителя в автоматизированных системах.

16.Разработка предложений по совершенствованию системы управления безопасностью информации в автоматизированных системах [6].

На основании профессионального стандарта, трудовых функций и действий также можно сформировать умения и навыки, которые необходимо отбирать в кандидате для центра мониторинга:

13.Осуществлять планирование и организацию работы персонала автоматизированной системы с учетом требований по защите информации.

14.Знать методы, способы, средства, последовательность и содержание этапов разработки автоматизированных систем и систем защиты автоматизированных систем.

15.Знать методики сертификационных испытаний технических средств защиты информации от "утечки" по техническим каналам на соответствие требованиям по безопасности информации.

16.Уметь анализировать основные узлы и устройства современных автоматизированных

систем.

17.Контролировать безотказное функционирование технических средств защиты информации.

18.Знать основные характеристики технических средств защиты информации от утечек по техническим каналам.

19.Уметь проводить комплексное тестирование и отладку аппаратных и программных систем защиты информации.

20.Знать современные технологии программирования [6].

Методы отбора дают возможность сформировать систему выбора персонала, подходящую каждой конкретной организации и решающую ее задачи более эффективно [7]. Рассмотрим методы, применимые к кандидатам для центра мониторинга и реагирования на инциденты информационной безопасности.

1. Собеседование - центральный этап системы отбора и самый распространенный метод,

который применяется всегда, при отборе сотрудников. На собеседовании работодатель задаёт вопросы, касающиеся образования соискателя, его опыта, полученных навыков и знаний [7]. Также поднимаются вопросы личного характера: цели, устремления в жизни, чего соискатель хочет добиться, какие у него планы. Собеседование может проходить в различных форматах:

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

реагирования на инциденты информационной безопасности, так как должность предполагает наличие у сотрудника определенных личных качеств: коммуникативные способности, работа в команде, быстрое реагирование, стремление к знаниям и другие.

b.Профессиональные опросники - позволяют выявить некомпетентных кандидатов на

первом этапе собеседования. Вопросы разрабатывает служба персонала совместно с руководителем центра мониторинга и реагирования на инциденты информационной безопасности, в котором предстоит работать соискателю. Полноту и глубину знаний кандидата

впрофессиональной области оценивает его потенциальный руководитель [8].

c.Проверка навыков и умений - этот метод можно отнести к профессиональному

тестированию. Он заключается в том, что эксперт проверяет умения и навыки, необходимые кандидату центра мониторинга и реагирования на инциденты информационной безопасности для качественного выполнения работы: разработка программного обеспечения, оценивание уязвимостей/тестирование на возможность проникновения в систему и администрирование системы.

Заключение

Вданной статье были рассмотрены методические подходы поиска кандидатов для Центра мониторинга. Можно сделать вывод, что только комплексный отбор позволяет оценить не только профессиональные качества и общий интеллект кандидата, но и другие способности: мыслить абстрактно, сообразительность, быстроту реакции на изменения ситуации, социальные способности, умение управлять людьми и ситуацией, мотивированность поведения, конфликтность, способность к деловым и личностным коммуникациям, зависимость от материальных ценностей.

Научный руководитель – канд. техн. наук, доц. Михайлов Е. М.

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.