Цель работы: закрепить навыки анализа состояния автоматизированной системы и расчета рисков информационной безопасности для заданной АС.
Задачи: выполнить анализ конфигурации и периметра безопасности рассматриваемого объекта обеспечения информационной безопасности. Выявить факторы, которые потенциально могут оказывать вредоносное воздействие на информационную безопасность рассматриваемого объекта. Оценить вероятность реализации выявленных угроз и уязвимостей. Рассчитать риски информационной безопасности для заданной автоматизированной системы в соответствии с вариантом.
Автоматизированная система: частное малое предприятие по сборке сигнализаций.
ВЫПОЛНЕНИЕ РАБОТЫ
ПЛАНИРОВАНИЕ МЕР ОБЕСПЕЧЕНИЯ
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Термины и определения
Автоматизированная система обработки информации — организационно-техническая система, представляющая собой совокупность следующих взаимосвязанных компонентов: технических средств обработки и передачи данных (средств вычислительной техники и связи), методов и алгоритмов обработки в виде соответствующего программного обеспечения, массивов (наборов, баз) данных на различных носителях, персонала и пользователей, объединенных по организационно-структурному, тематическому, технологическому или другим признакам для выполнения автоматизированной обработки данных с целью удовлетворения информационных потребностей потребителей информации.
Авторизованный субъект доступа — субъект, которому предоставлены соответствующие права доступа к объектам системы (полномочия).
Администратор безопасности — лицо или группа лиц, ответственных за обеспечение безопасности системы, за реализацию и непрерывность соблюдения установленных административных мер защиты и осуществляющих постоянную организационную поддержку функционирования применяемых физических и технических средств защиты.
Безопасность информации — защищенность информации от нежелательного (для соответствующих субъектов информационных отношений) ее разглашения (нарушения конфиденциальности), искажения (нарушения целостности), утраты или снижения степени доступности информации, а также незаконного ее тиражирования.
Вредоносные программы — программы или измененные программы объекта информатизации, приводящие к несанкционированному уничтожению, блокированию, модификации либо копированию информации или нарушению работы.
Защищаемое помещение — помещение для размещения технических средств защищенного объекта информатизации, а также помещение, предназначенное для проведения семинаров, совещаний, бесед и других мероприятий, в котором циркулирует конфиденциальная речевая информация.
Доступность информации — важнейшее свойство системы, в которой циркулирует информация (средств и технологии ее обработки), характеризующееся способностью обеспечивать своевременный беспрепятственный доступ к информации субъектов, имеющих на это надлежащие полномочия.
Естественные угрозы — это угрозы, вызванные воздействиями на информационную систему и ее компоненты объективных физических процессов техногенного характера или стихийных природных явлений, независящих от человека.
Защита информации — деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на информацию.
Защита информации от несанкционированного доступа — деятельность по предотвращению получения защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником, владельцем информации прав или правил доступа к защищаемой информации.
Защищаемая информация — информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.
Злоумышленник — нарушитель, действующий намеренно из корыстных, идейных или иных побуждений.
Нарушитель — это лицо (субъект), которое предприняло (пыталось предпринять) попытку несанкционированного доступа к ресурсам системы (попытку выполнения запрещенных ему действий с данным ресурсом) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или с целью самоутверждения и т.п.) и использовавшее для этого различные возможности, методы и средства.
Несанкционированный доступ — доступ субъекта к объекту в нарушение установленных в системе правил разграничения доступа.
Объект — пассивный компонент системы, единица ресурса информационной системы, доступ к которому регламентируется правилами разграничения доступа.
Объект защиты — информация или носитель информации или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации.
Оценка рисков – оценка угроз для информации и средств ее обработки, возможного ущерба для них в случае нарушения безопасности, их уязвимостей, а также возможности их возникновения.
Пароль — слово (набор символов), которое считается известным узкому кругу лиц (одному лицу) и используется для ограничения доступа к информации, в помещение, на территорию;
Пользователь — субъект, пользующийся информацией, полученной от ее собственника, владельца или посредника в соответствии с установленными правами и правилами доступа к информации;
Правила разграничения доступа — совокупность правил, регламентирующих права доступа субъектов к объектам в некоторой системе.
Целостность информации — свойство информации, заключающееся в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию).
Цель защиты информации — предотвращение или минимизация наносимого ущерба (прямого или косвенного, материального, морального или иного) субъектам информационных отношений посредством нежелательного воздействия на компоненты информационной системы, а также разглашения (утечки), искажения (модификации), утраты (снижения степени доступности) или незаконного тиражирования информации.
Общие положения, отражающие политику безопасности
Настоящая политика разработана на основе требований законодательства Российской Федерации, накопленного на Предприятии опыта в области обеспечения ИБ, интересов и целей Предприятия.
Основной целью, на достижение которой направлены все положения настоящей Политики, является защита информационных ресурсов от возможного нанесения им материального, физического, морального или иного ущерба, посредством случайного или преднамеренного воздействия на информацию, её носители, процессы обработки и передачи, а также минимизация рисков ИБ.
Настоящая Политика распространяется на все процессы Предприятия и обязательна для применения всеми сотрудниками и руководством Предприятия, а также пользователями его информационных ресурсов.
Для достижения указанных целей и задач на Предприятии внедряется система управления информационной безопасностью (далее – СУИБ).
СУИБ документирована в настоящей политике, в правилах, процедурах, рабочих инструкциях, которые являются обязательными для всех работников Предприятия в области действия системы. Документированные требования СУИБ доводятся до сведения работников Предприятия.
Стоимость внедряемых средств управления информационной безопасностью не должна превышать возможный ущерб, возникающий при реализации угроз.
На Предприятии должны быть выявлены и оценены с точки зрения их важности все ресурсы. Для всех ценных ресурсов должен быть составлен реестр (перечень). Благодаря информации о ресурсах Предприятия реализуется защита информации, степень которой соразмерна ценности и важности ресурсов. В ИС Предприятия присутствуют следующие типы ресурсов:
информационные ресурсы, содержащие конфиденциальную информацию, и/или сведения ограниченного доступа, в том числе информацию о финансовой деятельности Предприятия;
открыто распространяемая информация, необходимая для работы Предприятия, независимо от формы и вида её представления;
информационная инфраструктура, включая системы обработки и анализа информации, технические и программные средства её обработки, передачи и отображения, в том числе каналы информационного обмена и телекоммуникации, системы и средства защиты информации, объекты и помещения, в которых размещены такие системы.
Текущее состояние системы и ее уязвимости
На Предприятии должны быть определены требования к безопасности путём методической оценки рисков. Оценки рисков должны выявить, определить количество и расположить по приоритетам риски в соответствии с критериями принятия рисков и целями Предприятия. Результаты оценки должны определять соответствующую реакцию руководства, приоритеты управления рисками ИБ и набор механизмов контроля для защиты от этих рисков. Оценка рисков предполагает системное сочетание анализа рисков и оценивания рисков.
Перед обработкой каждого риска Предприятие должен выбрать критерии для определения возможности принятия этого риска. Риск может быть принят, если его величина достаточно мала и стоимость обработки нерентабельна для Предприятия. Такие решения должны регистрироваться. Для каждого из оцененных рисков должно приниматься одно из решений по его обработке.
Основные уязвимости Электронной системы Предприятия возникают по причине действия следующих факторов:
несовершенство программного обеспечения, аппаратной платформы;
разные характеристики строения автоматизированных систем в информационном потоке;
часть процессов функционирования систем является неполноценной;
неточность протоколов обмена информацией и интерфейса;
сложные условия эксплуатации и расположения информации.
Чаще всего источники угрозы запускаются с целью получения незаконной выгоды вследствие нанесения ущерба информации. Но возможно и случайное действие угроз из-за недостаточной степени защиты и массового действия угрожающего фактора.