МИНИСТЕРСТВО связи и МАССОВЫх КОММУНИКАЦИЙ РОССИЙСКОЙ ФЕДЕРАЦИИ

государственное образовательное учреждение

высшего профессионального образования

«САНКТ-ПЕТЕРБУГРСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ ТЕЛЕКОММУНИКАЦИЙ им. проф. М.А. БОНЧ-БРУЕВИЧА»

Факультет Информационных систем и технологий

Кафедра Информационных управляющих систем

РАБОТА

ЗАЩИЩЕНА С ОЦЕНКОЙ

ПРЕПОДАВАТЕЛЬ

проф., д.т.н.				Н.Н. Мошак
должность, уч. степень, звание		подпись, дата		инициалы, фамилия
ПРАКТИЧЕСКАЯ РАБОТА № 2
«Оценка риска информационной безопасности корпоративной информационной системы на основе модели информационных потоков»
по курсу: Безопасность информационных технологий и систем

РАБОТУ ВЫПОЛНИЛ(А)

СТУДЕНТ(КА) ГР.
			подпись, дата		инициалы, фамилия

СОДЕРЖАНИЕ

ЦЕЛЬ РАБОТЫ 3

ЗАДАНИЕ К ПРАКТИЧЕСКОЙ РАБОТЕ 4

ХОД РАБОТЫ 5

1. Структурно-функциональная схема ИС организации 5

2. Описание средства защиты каждого аппаратного ресурса. 7

3. Описание доступа. 8

4. Наличие выхода в Интернет 9

5. Указание ущерба от реализации угроз ИБ 9

Расчёт коэффициентов защищённости «конфиденциальность» 10

Расчет рисков по угрозе нарушение «доступности» 14

Расчет рисков по угрозе нарушение «целостности» 19

ВЫВОД 24

Цель работы

Рассчитать риск информационной системы (ИС) на основе модели информационных потоков.

Задание к практической работе

1. Описать архитектуру ИС.

   1. Составить структурно-функциональную схему ИС

   2. Описать в виде таблиц средства защиты каждого аппаратного ресурса, средства защиты каждого вида информации, хранящемся на нем с указанием веса каждого средства.

   3. Описать в виде таблицы вид доступа (локальный, удаленный) и права доступа (чтение, запись, удаление) для каждого пользователя (групп пользователей), а также наличие соединения через VPN, количество человек в группе для каждого информационного потока.

   4. Указать наличие у пользователей выхода в Интернет.

   5. Указать ущерб организации от реализации угроз ИБ для каждого информационного потока.

2. Рассчитать риски для каждого вида информации в ИС

1. Рассчитать риски для каждого вида информации по угрозе нарушение «конфиденциальности».

2. Рассчитать риски для каждого вида информации по угрозе нарушение «целостности».

3. Рассчитать риски для каждого вида информации по угрозе нарушение «доступности».

4. Оценить риски для каждого вида информации по угрозе нарушение «конфиденциальности», «целостности» и «доступности».

Ход работы

1. Структурно-функциональная схема ис организации

1. Нарисовать вариант структурно-функциональной ИС организации с указанием оборудования и функциональных связей «закрытого» и «открытого» контуров (Рисунок 1).

Рисунок 1 –Схема структурно-функциональной ИС организации

2. Описание средства защиты каждого аппаратного ресурса.

2. Описание в виде таблиц средства защиты каждого аппаратного ресурса, средства защиты каждого вида информации, хранящемся на нем с указанием веса каждого средства:

Средства защиты сервера закрытого контура	Вес
Средства физической защиты
Контроль доступа в помещение, где расположен ресурс (физическая охрана, дверь с замком, специальный пропускной режим в помещение)	40
Система наблюдения (видеонаблюдение, сенсоры и т.д.) за объектом	30
Средства локальной защиты
Отсутствие дисководов и USB портов 10	10
Настроенная политика аудита	20
Средства корпоративной сетевой защиты
Межсетевой экран	20
Обманная система	25
Система антивирусной защиты на сервере	30
Средства резервирования и контроля целостности
Аппаратная система контроля целостности	25
Средства защиты информации (информация №1)	30

Средства защиты сервера внешнего контура	Вес
Средства физической защиты
Контроль доступа в помещение, где расположен ресурс (физическая охрана, дверь с замком, специальный пропускной режим в помещение)	22
Система наблюдения (видеонаблюдение, сенсоры и т.д.) за объектом	16
Средства локальной защиты
Отсутствие дисководов и USB портов 10	10
Настроенная политика аудита (учет всех действий на сервере, в т. ч. авторизация, выход из учетной записи, модификации данных)	12
Средства корпоративной сетевой защиты
Межсетевой экран	15
Обманная система	15
Система антивирусной защиты на сервере	24
Средства резервирования и контроля целостности
Аппаратная система контроля целостности	18

Средства защиты рабочей станции	Вес
Средство физической защиты
Контроль доступа в помещение, где расположен ресурс (дверь с замком, видеонаблюдение)	16
Система наблюдения (видеонаблюдение, сенсоры и т.д.) за объектом	16
Средства локальной защиты
Средства антивирусной защиты (антивирусный монитор)	10
Отсутствие дисководов и USB портов	10
Настроенная локальная политика безопасности на каждом рабочем месте (распределение прав доступа, парольная политика, аудит действий пользователя)	15
Наличие соглашений о конфиденциальности (исключение разглашения конфиденциальной информации сотрудниками организации)	20
Средства персональной сетевой защиты
Наличие персонального межсетевого экрана	5
Система криптозащиты электронной почты	5