Аудит информационной безопасности методические указания к практическим занятиям

11

2.12Наличие журналов 1) Журнал по-

информационной экземплярного безопасности учета СКЗИ –

для регистрации и учета СКЗИ установленных на рабочих станци-

ях.

2)Журнал поэкземплярного учета дистрибутивов СКЗИ

– для регистрации и учета эталонных дистрибутивов СКЗИ.

3)Журнал учета ключевых документов СКЗИ – для регистрации и учета ключевых документов.

4)Журнал уче-

та ключевых носителей - для учета выдаваемых («чистых») носителей информации, например, токенов системы ДБО.

5) Журнал учета носителей конфиденциальной информации

13

Практическое занятие №3. Сбор исходных данных

Цель занятия: изучить этап сбора исходных данных; научиться вы-

делять критерии информации, необходимой для последующего аудита.

Этап сбора исходных данных является крайне важным, так как каче-

ство проводимого аудита будет почти полностью зависеть от достаточно-

сти и точности информации, полученной на этом этапе.

Таким образом, информация должна включать в себя: существую-

щую организационно-распорядительную документацию, касающуюся во-

просов информационной безопасности, сведения о программно-

аппаратном обеспечении АС, информацию о средствах защиты, установ-

ленных в АС и т.д. Более подробный перечень исходных данных представ-

лен в табл. 3.1.

Таблица 3.1

Перечень исходных данных, необходимых для проведения аудита без-

схема установки средства защиты

Информация о топологии АС карта локальной вычислительной сети, включающей схему распределения серверов и рабочих станций по сегментам сети; информация о типах каналов связи, используемых в АС;

информация об используемых в АС сетевых протоколах; схема информационных потоков АС

Также необходимо собрать и общеорганизационную информацию о предприятии. Например, выяснить количество сотрудников, имеющих до-

ступ к конфиденциальной информации, характер конфиденциальной ин-

формации, размер клиентской базы, список предоставляемых организаци-

ей услуг и т.д.

Задание: необходимо определить информацию, которая потребуется для аудита, составить список собираемых данных о выбранной организа-

ции.

Ниже представлен пример выполненного задания в виде возможного списка необходимых исходных данных для проведения аудита информа-

ционной безопасности банка.

Список собираемых данных о банке:

1.Общеорганизационная информация

Размер организации, количество сотрудников;

Размер клиентской базы, тип конфиденциальной информации

(в данном случае: персональные данные, информация, содержащая ком-

мерческую тайну).

2.Организационно-распорядительная документация

Политика информационной безопасности АО «Банк»;

Инструкция по обеспечению антивирусной защиты в системах АО

«Банк»;

Политика парольной защиты в АО «Банк»;

15

Порядок использования ресурсной сети Интернет в АО «Банк»;

Порядок использования съемных носителей информации в АО

«Банк»;

Порядок учета, хранения и обращения в АО «Банк» сертификатов ключей проверки электронной подписи и ключевых носителей;

Регламент предоставления доступа к информационным ресурсам АО «Банк»;

Регламент использования корпоративной почтовой системы АО

«Банк»;

Положение об обработке персональных данных в АО «Банк»;

Порядок взаимодействия с субъектами персональных данных в АО

«Банк»;

Приказы об утверждении вышеперечисленных документов.

3.Информация об аппаратном обеспечении хостов

Количество, наименования, адреса, тип серверов, рабочих станций и коммуникационного оборудования, используемых в банке;

информация об аппаратной конфигурации серверов и рабочих

станций;

4.Информация об общесистемном ПО

информация об операционных системах, установленных на ра-

бочих станциях и серверах;

данные о СУБД, установленных в АС;

5.Информация о прикладном ПО

перечень прикладного ПО общего и специального назначения,

используемого в организации;

описание функциональных задач, решаемых с помощью при-

кладного ПО, установленного в организации.

6.Информация о средствах защиты, установленных в АС

информация о производителе средств защиты;

конфигурационные настройки средств защиты;

схема установки средств защиты.

7.Информация о топологии сети

карта локальной вычислительной сети, включающей схему распределения серверов и рабочих станций по сегментам сети;

информация о типах каналов связи, используемых в организа-

ции;

информация об используемых сетевых протоколах;

схема информационных потоков организации.

17

Практическое занятие №4. Инструментальный анализ

Цель занятия: изучить инструменты, используемые при проведении активного аудита безопасности.

Сбор исходных данных можно осуществлять с помощью использо-

вания специализированных программных средств, которые позволяют по-

лучить необходимую информацию о составе и настройках программно-

аппаратного обеспечения автоматизированной системы организации. Так,

например, ПО Internet Scanner (компании ISS) и XSpider (компании Positive Technologies) являются частными случаями системы анализа защищенно-

сти (Security Scanners), основной задачей которых является проведение ин-

вентаризации сетевых ресурсов с последующим выявлением в них уязви-

мостей.

Следующим логичным этапом после сбора информации является анализ этой информации с целью оценки текущего уровня защищенности аудируемой системы. Задачей такого анализа является выявление рисков информационной безопасности, которым может быть подвержены органи-

зация. Можно сказать, риск является интегральной оценкой, показываю-

щей, насколько эффективно средства защиты, установленные на данном предприятии, могут противостоять рассматриваемым информационном атакам.

Данную задачу также можно решить использованием специализиро-

ванных программных комплексов, позволяющих автоматизировать про-

цесс анализа исходных данных и расчета значений рисков при аудите без-

опасности. Примеры таких комплексов - "Гриф" и "Кондор" компании

Digital Security, а также "АванГард", разработанный в Институте системно-

го анализа РАН.

Задание: 1. выбрать из списка (табл. 4.1) одно из средств проведения активного аудита безопасности, изучить; рассмотреть назначение инстру-

мента; плюсы и минусы использования именно этого инструмента. Пред-

ставить в виде презентации.

Таблица 4.1

Инструментальные средства проведения активного аудита ИБ

19

Практическое занятие №5. Оценка рисков с помощью системы

«ГРИФ»

Цель занятия: изучить процесс оценки рисков информационной безопасности на основе использования системы «ГРИФ».

Задание: выбрать один из вариантов исходных данных, указанных в методических указаниях по ссылке Анализ и управление информационны-

ми рисками ГРИФ. Выполнить работу в соответствии с выбранным вари-

антом и заданием, описанным в методических указаниях. Составить отчет по проделанной работе. По окончанию работы уметь рассказать о процессе оценки рисков информационной безопасности на предприятии.