62
II. Проектная часть
2.1 Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия
2.1.1 Отечественная и международная нормативно-правовая
основа создания системы обеспечения информационной безопасности и
защиты информации предприятия
В Российской Федерации к нормативно-правовым актам в области
информационной безопасности относятся:
1. Акты федерального законодательства:
- Международные договоры РФ;
• Конституция РФ;
• Законы федерального уровня (включая федеральные конституционные
законы, кодексы);
• Указы Президента РФ;
• Постановления правительства РФ;
• Нормативные правовые акты федеральных министерств и ведомств;
• Нормативные правовые акты субъектов РФ, органов местного
самоуправления и т. д.
2. К нормативно-методическим документам можно отнести
- Методические документы государственных органов России:
• Доктрина информационной безопасности РФ;
• Руководящие документы ФСТЭК (Гостехкомиссии России);
• Приказы ФСБ;
- Стандарты информационной безопасности, из которых выделяют:
• Международные стандарты;
• Государственные (национальные) стандарты РФ;
• Рекомендации по стандартизации;
63
• Методические указания.
Система информационной безопасности основана на международном
стандарте по обеспечению информационной безопасности ISO 17799 ("Нормы и
правила при обеспечении безопасности информации"). Стандарт ISO 17799
содержит общие рекомендации по организации системы информационной
безопасности, обеспечивающей базовый уровень безопасности информационных
систем, характерный для большинства организаций. При этом стандарт описывает
вопросы, которые должны быть рассмотрены при проектировании системы
информационной безопасности, и не накладывает ограничений на использование
конкретных средств обеспечения безопасности компонентов инфраструктуры.
Стандарт ISO 17799 содержит следующие разделы, описывающие различные
аспекты безопасности информационных систем:
- стратегия информационной безопасности — описывает необходимость
иметь поддержку руководства компании путем утверждения стратегии
информационной безопасности;
- организационные вопросы — дает рекомендации по форме управления
организации, оптимальной для реализации системы информационной
безопасности;
- классификация информационных ресурсов — описывает необходимые
меры по обеспечению безопасности информационных ресурсов и носителей
информации;
- управление персоналом — описывает влияние человеческого фактора на
информационную безопасность и меры, направленные на снижение
соответствующего риска;
- обеспечение физической безопасности — описывает мероприятия по
обеспечению физической безопасности компонентов информационной
инфраструктуры;
- администрирование информационных систем — описывает основные
аспекты безопасности при работе с серверами, рабочими станциями и другими
информационными системами;
- управление доступом — описывает необходимость четкого разграничения
прав и обязанностей при работе с информацией;
64
- разработка и сопровождение информационных систем — описывает
основные механизмы обеспечения безопасности информационных систем;
- обеспечение непрерывности бизнеса — описывает мероприятия по
обеспечению непрерывной работы организаций;
- обеспечение соответствия предъявляемым требованиям — описывает
общие требования к системам информационной безопасности и мероприятия по
проверке соответствия систем информационной безопасности этим требованиям.
2.1.2 Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия. Политика информационной безопасности предприятия
Организационно-административные методы обозначают процессы создания
и эксплуатации информационных объектов, а также взаимодействие пользователей
и систем таким образом, чтобы несанкционированный доступ к информации
становился либо невозможным, либо практически невозможным.
Организационно-административные методы защиты информации
охватывают все компоненты автоматизированных информационных систем на всех
этапах их жизненного цикла: проектирования систем, строительства зданий,
помещений и сооружений, монтажа и наладки оборудования, эксплуатации и
модернизации систем. К организационно-административным мероприятиям
защиты информации относятся:
- выделение специальных защищенных помещений для размещения
электронных вычислительных машин и средств связи также хранения носителей
информации;
- выделение специальных ЭВМ для обработки конфиденциальной
информации;
- организация хранения конфиденциальной информации на специальных
промаркированных носителях информации;
- использование в работе с конфиденциальной информацией технических и
программных средств, имеющих сертификат защищенности и установленных в
аттестованных помещениях;
65
- организация специального делопроизводства для конфиденциальной
информации, устанавливающего порядок подготовки, использования, хранения,
уничтожения и учета документированной информации;
- организация регламентированного доступа пользователей к работе на ЭВМ,
средствам связи и к хранилищам носителей конфиденциальной информации;
- установление запрета на использование открытых каналов связи для
передачи конфиденциальной информации;
- разработка и внедрение специальных нормативно-правовых и
распорядительных документов по организации защиты конфиденциальной
информации, которые регламентируют деятельность всех звеньев объекта защиты
в процессе обработки, хранения, передачи и использования информации;
- постоянный контроль за соблюдением установленных требований по
защите информации.
В процессе создания организационных - административных мероприятий
был создан документ «требования и рекомендации по обеспечению
информационной безопасности». ( Приложение 1)
2.2 Комплекс внедряемых (разрабатываемых) программно-
аппаратных средств обеспечения информационной безопасности
2.2.1 Основные сведения о внедряемых программно-аппаратных
средствах обеспечения информационной безопасности
Для решения поставленных перед нами задач следует закупить видеокамеры,
видеорегистратор и генераторы шума. Из предоставленного обзора рынка (в
п.п.1.4.2) были выбраны следующие устройства «Цветная купольная видеокамера
MDC-H7290VTD Купольная камера с изображением высокой четкости HD-SDI»
(видеокамера), «PVDR-16WDS216-канальный регистратор в корпусе из сплава
алюминия» (видеорегистратор), жесткий диск «ST4000VM000» (так как в
комплекте с видеорегистратором не поставляются жесткие диски (электронные
носители), то нам следует закупить таковые), и «система защиты информации
"Гром-ЗИ-4Б"» (генератор шума).
66
Цветная купольная видеокамера MDC-H7290VTD Купольная камера с
изображением высокой четкости HD-SDI (SMPTE-292M), 2.0 М(рисунок 5) имеет
сертификат соответствия № РОСС TW.AB86.B05683 со сроком действия с
07.03.2016 по 06.03.2020. Данная видеокамера наиболее оптимально подходит для
постоянного видеонаблюдения в помещениях. Она имеет функцию «день-ночь»,
которая автоматически переключает камеру в черно-белый (ночной) режим съемки
при сниженном уровне освещенности. Так же эта видеокамера автоматически
настраивает баланс белого и регулирует усиление видеосигнала. Для помещений
предприятия ООО «Паритет-Информ» этих характеристик вполне достаточно, что
бы организовать наблюдение за помещениями.
Рис 5. Цветная купольная видеокамера MDC-H7290VTD.
PVDR-16WDS2 rev.D Мультигибридный 16-ти канальный видеорегистратор
- AHD+IP+аналог (рисунок 6), имеет сертификат соответствия № РОСС
TW.АГ17.B18247 со сроком действия с 12.03.2016 по 11.03.2020. Данный
видеорегистратор имеет следующие характеристики:
Стандарт видеосигнала – PAL/NTSC;
Режимы работы - 16AHDMx720p/960H,8AHDMx720p/960H, 16AHDLx/960H,
4AHDMx720p/960H+4IPx720p, 4IPx1080p, 4AHDMx720p/960H+4IPx720p,
8AHDMx720p/960H+8IPx720p, 1IPx1080p+8IPx720p, 20IPx960H;
Технология сжатия видео – H.264 (MPEG4 - 10PART), аппаратное сжатие в
реальном времени. Динамическое сжатие = 40:1 - 2400:1;
Видеовход – BNC x 16 (1 Vp-p композитный / 75 Ом);
Видеовыход –VGAх1, HDMIx1;
Аудиовход – RCA x 6 синхронизация с видеозаписью;
Аудиовыход – RCA x 1 синхронизация с видеозаписью;
67
Скорость записи – 60 кадр/сек. /720x480, 120 кадр/сек. /720x240, 240
кадр/сек. /360x240 (NTSС); 50 кадр/сек. /720x576, 100 кадр/сек. /720x288, 200
кадр/сек. /360x288 (PAL);
Режим записи – Ручной режим/постоянная/ по расписанию/ по тревоге;
Управление – Кнопки на передней панели, пульт, USB-мышь
(дополнительно);
Поддержка жёстких дисков – Поддержка двух жестких дисков типа 3,5"
SATA до 4 Тб каждый;
Режим воспроизведения – Покадровый. Ускоренное воспроизведение вперед
и назад (до 64х);
Функции тревоги:
1. Выявление движения (с конфигурируемой областью и
чувствительностью);
2. Потеря изображения;
3. Вход датчика;
4. 8 контактов на датчики или сигнал TTL/CMOS, выбираемая полярность;
5. Отправка e-mail сообщения на стационар;
Работа по сетевым протоколам ONVIF, Cloud, TCP/IP, HTTP, DHCP, PPPoE,
FTP, DDNS, NTP, RTSP, SMTP, ARSP. Поддержка мониторинга через
персональный компьютер (Internet Explorer), Для работы по сети устройство имеет
гигабитный сетевой интерфейс, позволяющий удалённо подключаться через ПК на
базе ОС Windows или MacOS или с мобильных устройств с OC Android и iOS;
Резервное копирование осуществляется при помощи двух разъемов USB 2.0,
либо по сети, при помощи одного из протоколов с которыми работает устройство;
PTZ контроль – по интерфейсу rs485, rs232.
Соотношение цена и качества данного видеорегистратора оптимально
подходит для его использования на предприятии ООО «Паритет-Информ». В него
будут подключены все установленные в помещениях купольные видеокамеры.
Данный видеорегистратор будет настроен следующим образом:
Режим записи будет установлен «по тревоге»;
Будет использоваться функция тревоги «Детекция движения», настроенная
таким образом, что бы реагировать на появление движущегося объекта в кадре;
68
Сжатие будет настроено на средний уровень. Это позволит экономить
пространство на жестких диске Seagate ST4000VM000, что позволит хранить
записи нескольких месяцев.
Рис 6. PVDR-16WDS216-канальный регистратор в корпусе из сплава
алюминия.
ST4000VM000 (рисунок 7) жесткий диск для подключения к
видеорегистратору. Выбранный видеорегистратор имеет два интерфейса для
подключения жестких дисков. Для того чтобы хранить максимально больше
записей с камер видеонаблюдения, используем возможность подключения двух
жестких дисков по 4000 ГБ ~ 4ТБ.
Выбранный жесткий диск (HDD) имеет оптимальное соотношение цена –
качество. Предназначен для использования в системах видеонаблюдения, имеет
повышенное время работы, заявленное производителем, по сравнению с жесткими
дисками предназначенными для других сфер.
Характеристики:
69
Линейка:
Video 3.5 HDD
Тип:
HDD
Поддержка секторов размером 4 Кб:
есть
Назначение:
для систем видеонаблюдения
Формат:
3.5"
Объем:
4000 Гб
Объем буферной памяти:
64 Мб
Скорость вращения:
5900 rpm
Подключение:
SATA 6Gbit/s
Внешняя скорость передачи данных:
600 Мб/с
Поддержка NCQ:
есть
Ударостойкость при работе:
80 G
Ударостойкость при хранении:
300 G
Уровень шума простоя:
23 дБ
Уровень шума работы:
25 дБ
Потребляемая мощность:
7.50 Вт
Размеры (ШхВхД):
101.6x26.11x146.99 мм
Вес:
610 г
Дополнительная информация:
У представленной модели доступна возможность круглосуточной работы и без
выходных, рекомендуемые области применения: мультимедийные серверы и
центры; персональные компьютеры и серверы для домашних или других
кинотеатров; бытовые и цифровые видеомагнитофоны; телеприставки для
кабельного, спутникового и интернет-телевидения.
Рис 7. Жесткий диск Seagate ST4000VM000
Система защиты информации "Гром-ЗИ-4Б" (рисунок 8) предназначена для
маскировки побочных электромагнитных излучений и наводок (ПЭМИН) средств
70
вычислительной техники. «Гром-ЗИ-4Б» формирует шумовую помеху в широком
диапазоне частот и полностью соответствует СМД ФСТЭК по контролю
защищенности информации, обрабатываемой СВТ от утечки за счет ПЭМИН.
Рис 8. Система защиты информации "Гром-ЗИ-4Б".
Система является двухканальной. Первый канал системы формирует
магнитную составляющую электромагнитного поля помех в диапазоне частот от
0,01 МГц до 30 МГц. Второй канал формирует электрическую составляющую
электромагнитного поля в диапазоне от 0,01 МГц до 2000 МГц. Система состоит из
генератора шумовой помехи «Гром-ЗИ-4Б», дисконусной антенны «SI-5002.1» и
трёх рамочных антенн.
Представленная, в данной дипломной работе, система должна включаться
всегда на то время, когда проводится работа с секретной информацией в отделах
сотрудников или в самой организации в целом, в остальных случаях допускается
выключение этой системы на неопределенный промежуток времени. При каждом
включении и выключении этой системы, должна производиться соответствующая
запись в журнал, у ответственного лица, который должен находиться в каждом
отделе организации, для защит информационной деятельности.
Просмотр видеозаписей с камер, а так же слежением за их
работоспособностью и за работоспособностью систем защиты информации "Гром-
ЗИ-4Б" в отделах, будет осуществляться отделом «материально-технического
обеспечения и технического обслуживания». Так же они должны своевременно
сообщать о нарушениях, замеченных на видеозаписях, генеральному директору
предприятия или его заместителям.
71
2.2.2 Контрольный пример реализации проекта и его описание
Внедрение выбранного оборудования будет осуществляться на всех этажах
предприятия, на которых оно снимает помещения, однако в дипломном проекте
будет изображен только один этаж, так как большинство остальных помещений
имеют гриф секретности, и их описание будет рассматриваться как нарушение
политики безопасности.
Установка видеокамер будет произведена в следующих помещениях. В
серверной комнате, в холе отдела «сбора и обработки статистической и
бухгалтерской отчетности», а так же в комнате операторов этого же отдела, и в
отделе «системного анализа финансово-экономического состояния предприятий и
обоснования структурных преобразований отрасли».
Видеорегистратор будет располагаться в комнате отдела «материально-
технического обеспечения и технического обслуживания». Его рабочий интерфейс
изображен на рисунке 9, а на рисунке 10 изображен его программный интерфейс.
Рис 9. Рабочий интерфейс видеорегистратора.