лаба_12 / лаб_12_13_4

Постановка задачи

1.Описываемая область выбирается студентом на основе собранных материалов по конкретному предприятию, организации или компании.

2.Цель работы: изучение вида работ по спецификации объекта

защиты.

3.Отчет выполняется в форме спецификации объекта защиты и среды безопасности

4.Материал должен содержать титульный лист, постановку задачи, а также следующие разделы:

a.Описание функций объекта

b.Доступ на объект

c.Персонал объекта

d.Технические характеристики объекта

e.Безопасность объекта

f.Правила доступа к сетям и устройствам на предприятии

g.Описание структуры и оценка защищенности компании (например, при помощи программного обеспечения "РискМенеджер - Анализ v3.5" или согласно методике Вихорева)

h.Показатели исходной защищенности ИСПДн

i.Заключение о степени защищенности

2

1.Описание функций объекта

Объект – офис предприятия, располагающийся в бизнес-центре г. Сочи. Офис представляет собой несколько помещений, разделенных на 2 группы: рабочий отдел (рабочие места рядовых сотрудников) и технический отдел (рабочие места системных администраторов, веб-сервера, сервера БД). Вход на территорию офиса осуществляется с помощью пропусков сотрудников.

Офис используется в качестве рабочего пространства сотрудников, оснащен необходимым для работы оборудованием и ПО, в офисной корпоративной сети хранится и циркулирует необходимая информация о клиентах, рабочих документах и т.д.

Объект предназначен для хранения и обработки данных клиентов, организации, рабочих файлов и документов.

Основные задачи офиса:

1)Хранение информации о клиентах;

2)Хранение информации о сотрудниках;

3)Хранение рабочей документации предприятия;

4)Хранение рабочих файлов предприятия;

5)Обеспечение доступа сотрудников к необходимым файлам;

6)Обеспечение работы сайта и возможности принимать заказы.

3

2.Доступ на объект

Офис располагается в бизнес-центре города Сочи, офис разделен на 2 основные части:

1)Технический отдел

2)Рабочий отдел

Доступ в офис возможен только по пропускам, никто кроме системного администратора не имеет доступа в его кабинет, в котором располагаются в т.ч. web-сервер и база данных предприятия.

Доступ в бизнес-центр осуществляется по другим пропускам, позволяющим перемещаться по территории бизнес-центра, на входе в здание бизнес-центра расположена СКУД (турникеты), контролируемые охранной организацией, в бизнес-центре имеются СВК.

Система разграничения доступа, действующая на предприятии призвана:

4

1)Контроль доступа в различные помещения предприятия, на территорию предприятия.

2)Контроль времени прихода/ухода сотрудников.

3)Контроль доступа к оборудованию.

3.Персонал объекта

Объект обслуживается:

•техническим отделом;

•рабочим отделом.

Втехнический отдел входят: системный администратор – 5 человек.

Врабочий отдел входят: члены проектных команд – 30 человек. Дополнительный персонал (уборщики, сантехники и тд) – 10 человек.

Работники имеют различные права доступа к помещениям и оборудованию предприятия.

4.Техническая характеристика объекта

В распоряжении каждого сотрудника (за исключением дополнительного персонала) находится собственный кабинет, оснащенный ПК с ОС Windows 10 или одним из дистрибутивов Linux, подключенным к Сети.

Рабочее место системного администратора доступно исключительно по пропуску системного администратора, в этой зоне располагаются веб-сервер и база данных предприятия.

5.Безопасность объекта

Состав обрабатываемой информации: 1) Персональные данные клиентов

5

2)Данные о заказах

3)Рабочие документы предприятия

4)Данные о сотрудниках

5)Рабочие файлы

Для защиты данных на объекте используется шифрование данных, техническим отделом регулярно создаются резервные копии данных, на всех устройствах стоит защитное ПО, доступ к устройствам осуществляется при помощи индивидуальных авторизационных данных сотрудников, локальная сеть предприятия отделена от общей сети межсетевым экраном.

Согласно приказу ФСТЭК №17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах», ООО ДТел имеет класс К3 (Масштаб информационной системы – объектовый + уровень значимости информации УЗ 3 – в результате нарушения одного из свойств безопасности информации возможны незначительные негативные последствия в социальной, экономической и финансовой областях деятельности организации, и ИС и оператор информации может выполнять возложенные на них функции с недостаточной эффективностью).

6

6. Правильна доступа к сетям и устройстам

Доступ к сети Интернет осуществляется только с установленных АРМ.

У каждого сотрудника в системе имеется свой профиль с определенным набором прав доступа к сети, защищенный паролем.

7. Описание структуры и оценка защищенности компании

Структурное описание предприятия, представленное в таблице ниже выполнено с помощью программы «РискМенеджер – Анализ v3.5».

Таблица 2 – структурное описание предприятие

Рисунок 2 – Структурное описание предприятия Оценка защищенности системы по методике Вихорева представлена ниже.

2.3организации или ее подразделений, нарушить взаимоотношения с партнерами

8. Показатели исходной защищенности ИСПД н

Согласно документу ФСТЭК «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» под уровнем исходной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, приведенных в таблице 2.

Таблица 2 – описание уровня защищенности

Технические и эксплуатационные характеристики Уровень защищенности ИСПДн