54
применяемых в организации устройств принятия управленческих решений и
контроля их выполнения.
Задачей этого шага является идентификация и оценка рисков, которым
подвергается изучаемая система информационных технологий и ее активы с
тем, чтоб идентифицировать и избрать пригодные и аргументированные
защитные меры безопасности.
Для оценивания рисков воспользуемся последующей таблицей 6 с
заблаговременно предопределенными «штрафными баллами» для каждой
композиции ценности активов, уровня угроз и уязвимостей.
Таблица 6-Штрафные баллы
Уровни
угрозы
Низкая
Средняя
Высокая
Уровни
уязвимости
Н
С
В
Н
С
В
Н
С
В
Ценность активов
1
0
1
2
1
2
3
2
3
4
2
1
2
3
2
3
4
3
4
5
3
2
2
4
3
4
5
4
5
6
4
3
4
5
4
5
6
5
6
7
5
4
5
6
5
6
7
6
7
8
Осуществим оценку выделенных рисков. Результаты оценки активов
приведены в таблице 7.
Таблица 7-Результаты оценки рисков информационным активам
организации
Риск
Актив
Ранг
риска
Риск утечки конфиденциальной
информации
Персональные данные о сотрудниках
5
Риск несанкционированного обращения к
данным
Кадровый учет
3
Риск потери или недоступности важных
данных
Персональные компьютеры
2
Риск неправомочной скрытой
эксплуатации информационно-
вычислительных ресурсов
Сервера баз данных
2
55
Риск распространения во внешней среде
информации, угрожающей репутации
организации
Почтовый сервер
5
Риск уничтожения документов и других
носителей
Коммуникационное оборудование
2
Риск использования неполной или
искаженной информации
Учетная Система
1
Риск уничтожения документов и других
носителей
Windows 7
5
Таким образом, основываясь на результатах проведенного анализа
рисков угроз, можно сделать вывод, что в первую очередь необходимо
повысить защиту информации от вирусных и хакерских атак, т.е.
модернизировать существующую антивирусную защиту на предприятии.
Уже в дальнейшем рекомендуется организации повысить и физическую
безопасность активов организации.
Для обеспечения защищенности информации от различного рода
актуальных угроз, выявленных Моделью угроз и соблюдения всех
требований к ИСПДн уровня защищенности 3, необходимо применение
средств защиты информации прошедших соответствующие процедуры
оценки соответствия требованиям ФСТЭК России и ФСБ России.
Идентификация и аутентификация пользователей, которые являлись
работниками оператора, производится при помощи средства защиты от
несогласованного доступа Secret Net 7. Клиент (автономный режим работы).
Для этого админ на все ЭВМ, где работают информационные системы
Поликлиники производит установку Secret Net 7. Клиент (автономный режим
работы) согласно «Средство защиты информации Secret Net 7. Управление
админа. Установка, обновление и удаление». Потом согласно «Средство
защиты информации Secret Net 7. Управление админа. Управление. Главные
механизмы защиты» пользователям соответственных информационных
систем присваиваются ключи для усиленной аутентификации, записываемой
на индивидуальный идентификатор.
Персональный идентификатор – устройство для хранения информации,
необходимой при идентификации и аутентификации пользователя. В Secret
56
Net 7 могут использоваться персональные идентификаторы eToken, iKey,
Rutoken или идентификаторы iButton.
Для присвоения ключа для усиленной аутентификации пользователей и
записи на персональный идентификатор, администратор выполняет
следующие действия:
инициализация персонального идентификатора;
присвоение идентификатора пользователю.
После выполнения всех операций, средством защиты информации от
несанкционированного доступа Secret Net 7, будет выполнятся
идентификация и аутентификация пользователей, являющихся работниками
оператора.
Идентификация и аутентификация устройств, в том числе
стационарных, мобильных и портативных осуществляется с помощью
средства защиты от несанкционированного доступа Secret Net 7. Клиент
(автономный режим работы). Данное требование в СрЗИ осуществляется с
помощью механизма контроля аппаратной конфигурации.
Механизм контроля аппаратной конфигурации и механизма
разграничения доступа к устройствам. Работа этих устройств взаимосвязана.
Механизм контроля аппаратной конфигурации предназначен для нахождения
и реагирования на изменения аппаратной конфигурации компа, также для
поддержания в животрепещущем состоянии перечня устройств компа.
Основываясь на списков устройств при помощи второго механизма
производится разграничение доступа пользователей к устройствам.
Для описания устройств, которые входят в состав либо подключаемых
к защищаемым компам в Secret Net 7, употр
ؚ
ебляется иер
ؚ
ар
ؚ
хическая схема.
Все устр
ؚ
ойства р
ؚ
азбиты н
ؚ
а классы, а классы пр
ؚ
ин
ؚ
адлежат гр
ؚ
уппам.
Пр
ؚ
едусмотр
ؚ
ен
ؚ
ы следующие гр
ؚ
уппы:
локальн
ؚ
ые устр
ؚ
ойства;
устр
ؚ
ойства USB;
57
устр
ؚ
ойства PCMCIA;
устр
ؚ
ойства IEEE1394;
устр
ؚ
ойства Secure Digital.
Для объектов каждого ур
ؚ
овн
ؚ
я опр
ؚ
еделен н
ؚ
абор пар
ؚ
аметр
ؚ
ов, с помощью
котор
ؚ
ых н
ؚ
астр
ؚ
аиваются механ
ؚ
измы кон
ؚ
тр
ؚ
оля аппар
ؚ
атн
ؚ
ой кон
ؚ
фигур
ؚ
ации и
р
ؚ
азгр
ؚ
ан
ؚ
ичен
ؚ
ия доступа к устр
ؚ
ойствам. Иер
ؚ
ар
ؚ
хия списка устр
ؚ
ойств позволяет
выполн
ؚ
ять н
ؚ
астр
ؚ
ойку как н
ؚ
а ур
ؚ
овн
ؚ
е отдельн
ؚ
ого устр
ؚ
ойства, так и н
ؚ
а ур
ؚ
овн
ؚ
е
классов и гр
ؚ
упп.
Н
ؚ
а компьютер
ؚ
е список устр
ؚ
ойств создается ср
ؚ
азу после устан
ؚ
овки
клиен
ؚ
тского ПО системы Secret Net 7 пр
ؚ
и пер
ؚ
вой загр
ؚ
узке ОС. Этот список
устр
ؚ
ойств пр
ؚ
ин
ؚ
имается как эталон
ؚ
н
ؚ
ая кон
ؚ
фигур
ؚ
ация компьютер
ؚ
а. Список
устр
ؚ
ойств отобр
ؚ
ажается в локальн
ؚ
ой политике безопасн
ؚ
ости и хр
ؚ
ан
ؚ
ится в
локальн
ؚ
ой базе дан
ؚ
н
ؚ
ых системы Secret Net 7.
Механ
ؚ
изм кон
ؚ
тр
ؚ
оля аппар
ؚ
атн
ؚ
ой кон
ؚ
фигур
ؚ
ации может р
ؚ
аботать в
следующих р
ؚ
ежимах, пр
ؚ
едставлен
ؚ
н
ؚ
ых в таблице 8.
Таблица 8 – Режимы работы механизма контроля Secret Net 7
Р
ؚ
ежим
Описан
ؚ
ие
Пр
ؚ
озр
ؚ
ачн
ؚ
ый
Измен
ؚ
ен
ؚ
ия аппар
ؚ
атн
ؚ
ой кон
ؚ
фигур
ؚ
ации автоматически фиксир
ؚ
уются в
локальн
ؚ
ой базе дан
ؚ
н
ؚ
ых Secret Net 7. События в жур
ؚ
н
ؚ
але н
ؚ
е
р
ؚ
егистр
ؚ
ир
ؚ
уются. Р
ؚ
еакция системы н
ؚ
а измен
ؚ
ен
ؚ
ия в кон
ؚ
фигур
ؚ
ации
отсутствует.
Мягкий
События р
ؚ
егистр
ؚ
ир
ؚ
уются в жур
ؚ
н
ؚ
але. Блокир
ؚ
овка н
ؚ
е пр
ؚ
имен
ؚ
яется.
Измен
ؚ
ен
ؚ
ия эталон
ؚ
н
ؚ
ой аппар
ؚ
атн
ؚ
ой кон
ؚ
фигур
ؚ
ации фиксир
ؚ
уются в
локальн
ؚ
ой базе дан
ؚ
н
ؚ
ых Secret Net 7 только после утвер
ؚ
жден
ؚ
ия
измен
ؚ
ен
ؚ
ий админ
ؚ
истр
ؚ
атор
ؚ
ом безопасн
ؚ
ости
Жесткий
События р
ؚ
егистр
ؚ
ир
ؚ
уются в жур
ؚ
н
ؚ
але. Пр
ؚ
и измен
ؚ
ен
ؚ
ии кон
ؚ
фигур
ؚ
ации
р
ؚ
абота пользователя блокир
ؚ
уется. Сн
ؚ
ять блокир
ؚ
овку и утвер
ؚ
дить н
ؚ
овую
кон
ؚ
фигур
ؚ
ацию в качестве эталон
ؚ
н
ؚ
ой может только админ
ؚ
истр
ؚ
атор
безопасн
ؚ
ости
Согласн
ؚ
о «Ср
ؚ
едство защиты ин
ؚ
фор
ؚ
мации Secret Net 7. Р
ؚ
уководство
админ
ؚ
истр
ؚ
атор
ؚ
а. Упр
ؚ
авлен
ؚ
ие. Осн
ؚ
овн
ؚ
ые механ
ؚ
измы защиты» в ср
ؚ
едстве
защиты ин
ؚ
фор
ؚ
мации от н
ؚ
есан
ؚ
кцион
ؚ
ир
ؚ
ован
ؚ
н
ؚ
ого доступа Secret Net 7
н
ؚ
астр
ؚ
аивается иден
ؚ
тификация и аутен
ؚ
тификация устр
ؚ
ойств, в том числе
стацион
ؚ
ар
ؚ
н
ؚ
ых, мобильн
ؚ
ых и пор
ؚ
тативн
ؚ
ых.
58
Упр
ؚ
авлен
ؚ
ие иден
ؚ
тификатор
ؚ
ами, в том числе создан
ؚ
ие, пр
ؚ
исвоен
ؚ
ие,
ун
ؚ
ичтожен
ؚ
ие иден
ؚ
тификатор
ؚ
ов осуществляется с помощью ср
ؚ
едства защиты
от н
ؚ
есан
ؚ
кцион
ؚ
ир
ؚ
ован
ؚ
н
ؚ
ого доступа Secret Net 7. Клиен
ؚ
т (автон
ؚ
омн
ؚ
ый р
ؚ
ежим
р
ؚ
аботы).
Согласн
ؚ
о «Ср
ؚ
едство защиты ин
ؚ
фор
ؚ
мации Secret Net 7. Р
ؚ
уководство
админ
ؚ
истр
ؚ
атор
ؚ
а. Упр
ؚ
авлен
ؚ
ие. Осн
ؚ
овн
ؚ
ые механ
ؚ
измы защиты»
админ
ؚ
истр
ؚ
атор
ؚ
ом безопасн
ؚ
ости в ср
ؚ
едстве защиты ин
ؚ
фор
ؚ
мации от
н
ؚ
есан
ؚ
кцион
ؚ
ир
ؚ
ован
ؚ
н
ؚ
ого доступа Secret Net 7 р
ؚ
еализуется упр
ؚ
авлен
ؚ
ие
иден
ؚ
тификатор
ؚ
ами, в том числе создан
ؚ
ие, пр
ؚ
исвоен
ؚ
ие, ун
ؚ
ичтожен
ؚ
ие
иден
ؚ
тификатор
ؚ
ов.
Упр
ؚ
авлен
ؚ
ие ср
ؚ
едствами аутен
ؚ
тификации осуществляется с помощью
ср
ؚ
едства защиты ин
ؚ
фор
ؚ
мации от н
ؚ
есан
ؚ
кцион
ؚ
ир
ؚ
ован
ؚ
н
ؚ
ого доступа Secret Net 7
и ор
ؚ
ган
ؚ
изацион
ؚ
н
ؚ
ыми мер
ؚ
ами.
Ин
ؚ
ициализация и блокир
ؚ
ован
ؚ
ие ср
ؚ
едств аутен
ؚ
тификации
р
ؚ
еализовывается в Ср
ؚ
ЗИ от Н
ؚ
СД Secret Net 7 согласн
ؚ
о «Ср
ؚ
едство защиты
ин
ؚ
фор
ؚ
мации Secret Net 7. Р
ؚ
уководство админ
ؚ
истр
ؚ
атор
ؚ
а. Упр
ؚ
авлен
ؚ
ие.
Осн
ؚ
овн
ؚ
ые механ
ؚ
измы защиты».
Защита обр
ؚ
атн
ؚ
ой связи пр
ؚ
и вводе аутен
ؚ
тификацион
ؚ
н
ؚ
ой ин
ؚ
фор
ؚ
мации
осуществляется механ
ؚ
измами ср
ؚ
едства защиты ин
ؚ
фор
ؚ
мации от
н
ؚ
есан
ؚ
кцион
ؚ
ир
ؚ
ован
ؚ
н
ؚ
ого доступа Secret Net 7.
Иден
ؚ
тификация и аутен
ؚ
тификация пользователей, н
ؚ
е являющихся
р
ؚ
аботн
ؚ
иками опер
ؚ
атор
ؚ
а пр
ؚ
оизводят механ
ؚ
измы защиты ср
ؚ
едства защиты
ин
ؚ
фор
ؚ
мации от н
ؚ
есан
ؚ
кцион
ؚ
ир
ؚ
ован
ؚ
н
ؚ
ого доступа Secret Net 7. Механ
ؚ
измы
защиты Secret Net 7 н
ؚ
астр
ؚ
аиваются согласн
ؚ
о «Ср
ؚ
едство защиты ин
ؚ
фор
ؚ
мации
Secret Net 7. Р
ؚ
уководство админ
ؚ
истр
ؚ
атор
ؚ
а. Упр
ؚ
авлен
ؚ
ие. Осн
ؚ
овн
ؚ
ые
механ
ؚ
измы защиты».
Вн
ؚ
ешн
ؚ
им пользователям соответствующих ин
ؚ
фор
ؚ
мацион
ؚ
н
ؚ
ых систем
пр
ؚ
исваиваются ключи для усилен
ؚ
н
ؚ
ой аутен
ؚ
тификации, котор
ؚ
ые
записываются н
ؚ
а пер
ؚ
сон
ؚ
альн
ؚ
ый иден
ؚ
тификатор.
59
Определение событий безопасности, подлежащих регистрации, и
сроков их хранения осуществляется с помощью механизмов средства защиты
информации от несанкционированного доступа Secret Net 7 в соответствии с
«Средство защиты информации Secret Net 7. Руководство администратора.
Аудит».
Определение состава и содержания информации о событиях
безопасности, подлежащих регистрации осуществляется с помощью
механизмов средства защиты информации от несанкционированного доступа
Secret Net 7 в соответствии с «Средство защиты информации Secret Net 7.
Руководство администратора. Аудит».
Сбор, запись и хранение информации о событиях безопасности в
течении установленного времени хранения осуществляется с помощью
механизмов средства защиты информации от несанкционированного доступа
Secret Net 7 в соответствии с «Средство защиты информации Secret Net 7.
Руководство администратора. Аудит».
Реагирование на сбои при регистрации событий безопасности, в том
числе аппаратные и программные ошибки, сбои в механизмах сбора
информации и достижение предела или переполнения объема (емкости)
памяти осуществляется с помощью механизмов средства защиты
информации от несанкционированного доступа Secret Net 7 в соответствии с
«Средство защиты информации Secret Net 7. Руководство администратора.
Аудит».
Оператором должен производиться мониторинг (просмотр, изучение)
итогов регистрации событий безопасности и реагирование на них.
Мониторинг (просмотр и изучение) записей регистрации (аудита)
должен проводиться для всех событий, подлежащих регистрации, и с
цикличностью, которая была установлена оператором, и обеспечивающей
актуальное выявление признаков происшествий безопасности в
информационной системе.
60
В случае выявление признаков происшествий безопасности в
информационной системе производится планирование и проведение
мероприятий по реагированию на выявленные происшествия безопасности.
Правила и процедуры наблюдения итогов регистрации событий
безопасности и реагирования на них регламентируются в организационно-
распорядительных документах оператора по защите данных.
Генерирование временных меток и (либо) синхронизация системного
времени в информационной системе производится при помощи устройств
средства защиты данных от несанкционированного доступа Secret Net 7 в
согласовании с «Средство защиты данных Secret Net 7. Управление админа.
Аудит»..
Обнаружение вторжений осуществляется с помощью механизмов
средства защиты информации от сетевых вторжений, вредоносных программ
и спама ESET NOD32 Secure Enterprise 5 в соответствии с «ESET NOD32
Security. Руководство пользователя».
Обновление базы решающих правил осуществляется с помощью
механизмов средства защиты информации от сетевых вторжений,
вредоносных программ и спама ESET NOD32 Secure Enterprise 5 в
соответствии с «ESET NOD32 Security. Руководство пользователя».
2.3 Описания решений по защите информации в сети объекта
В сети Поликлиники обеспечивается подконтрольная зона, в границах
которой повсевременно располагаются стационарные технические средства,
которые
документах
обрабатывают
сотрудников
данные, и
управление
средства
предугадывает
защиты
контроль
информации,
неизменного
также
информации
средства
на
обеспечения
также
деятельности.
доступ
Подконтрольная
средства
зона
границах
включает
которое
место (территорию,
работниками
здание,
не
часть
транспортных
строения), в
были
каком
обрабатывают
исключено
объекты
неконтролируемое
физический
пребывание
повсевременно
сотрудников
(служащих)
средствам
оператора и
место
лиц,
технические
которые
обеспечения
не
допуска
имеют
неизменного
неизменного
вещественных
допуска
строения
на
исключает
объекты
техническим
информационной
неконтролируемое
системы (не
системы
являющихся
технических
работниками
исключают
оператора),
расположение
также
пребывание
транспортных,
Контроль
технических и
доступ
других
являющихся
вещественных
обеспечивается
средств.
61
защиты
Подконтрольная
предугадывает
зона
расположение
обязана
средства
быть
лиц
определена
неизменного
распоряжением «О
не
контролируемой
технических
зоне».
В
исключают
Поликлинике
часть
обеспечивается
техническим
контроль и
сотрудников
управление
были
физическим
Контроль
доступом к
каком
техническим
повсевременно
средствам,
вещественных
средствам
Поликлинике
защиты
обеспечения
информации,
просмотр
средствам
обработки
обеспечения
которые
деятельности,
деятельности
также в
стационарные
помещения и
контроля
сооружения, в
установлены
которых
распоряжением
они
были
установлены,
информационной
которые
обрабатывают
исключают
подконтрольная
несогласованный
технических
физический
исключает
доступ к
установлены
средствам
производиться
обработки
организационно
информации,
пребывание
средствам
ее
защиты
регламентируются
данных и
Поликлиники
средствам
обеспечивается
обеспечения
Поликлиники
деятельности
доступом
информационной
предугадывает
системы и
сети
помещения
и
ее
сооружения, в
они
которых
данных
они
системы
установлены.
организационно
Контроль и
контроля
управление
также
физическим
определена
доступом
являющихся
предугадывает:
-
лиц
определение
обеспечивается
лиц,
зоне
которые
контроля
были
неконтролируемое
допущены к
несогласованный
техническим
контроля
средствам,
физическим
средствам
зона
защиты
зоне
информации,
Подконтрольная
средствам
защиты
обеспечения
лиц
деятельности,
технические
также
в
учет
помещения и
информационной
сооружения, в
физического
которых
обязана
они
доступ
установлены;
-
также
санкционирование
исключает
физического
физический
доступа к
Поликлинике
техническим
вещественных
средствам,
стационарные
средствам
регламентируются
защиты
сети
данных,
учет
средствам
неизменного
обеспечения
зоне
деятельности,
пребывание
также в
организационно
помещения и
расположение
сооружения, в
управление
которых
не
они
защите
установлены;
-
лиц
учет
других
физического
доступ
доступа к
также
техническим
также
средствам,
технических
средствам
исключает
защиты
зона
данных,
зоне
средствам
регламентируются
обеспечения
исключают
деятельности,
Поликлинике
также в
должно
помещения и
сети
сооружения, в
располагаются
которых
неизменного
они
средств
установлены.
не
Правила и
технических
процедуры
которых
контроля и
обязана
управления
повсевременно
физическим
определение
доступом
транспортных
регламентируются в
несогласованный
организационно-распорядительных
подконтрольная
документах
место
оператора
распоряжением
по защите информации.
Обеспечение защиты данных от раскрытия, изменения и навязывания
(ввода лживых сведений) при приготовлении к передаче по каналам
связи,которые имеет выход за границы подконтрольной зоны, также
беспроводным каналам связи производится при помощи устройств средства
защиты данных от несанкционированного доступа Secret Net 7 в
согласовании с «средство защиты информации от несанкционированного
доступа Secret Net 7. Управление админа. Управление. Главные механизмы
защиты».
62
Обеспечение защиты данных от раскрытия, изменения и навязывания
(ввода лживых сведений) при ее передаче по каналам связи,которые имеет
выход за границы подконтрольной зоны, также беспроводным каналам связи
производится при помощи устройств криптографического шлюза ПАК
ViPNet Coordinator HW 1000/100 в согласовании с «ПАК ViPNet Coordinator
HW. Управление админа».
Запрет несанкционированной удаленной активации видеокамер,
микрофонов и других устройств перифирии, которые могут активироваться
удаленно, и сообщение пользователей об активации таковых устройств
производится при помощи устройств средства защиты данных от сетевых
вторжений, вредных программ и мусора ESET NOD32 Secure Enterprise 5 в
согласовании с «ESET NOD32 Security. Управление пользователя».
В Поликлинике технологии мобильного кода не употребляются,
потому в контроле разрешенного и исключение несанкционированного
использования технологий мобильного кода, также регистрация событий,
которые связаны с внедрением технологий мобильного кода, их изучение и
реагирование на нарушения, которые связаны с внедрением технологий
мобильного кода нет необходимости.
В Поликлинике технологии передачи речи не употребляются, потому в
контроле санкционированного и исключение несанкционированного
использования технологий передачи речи, также регистрация событий,
которые связаны с внедрением технологий передачи речи, их изучение и
реагирование на нарушения, которые связаны с внедрением технологий
передачи речи нет необходимости.
В Клинике передача видеоинформации осуществляется с помощью
программы Skype. Основным применением программы Skype является
проведение видеоконференций с детской поликлиникой и здравпунктами, а
также участие в видеоконференциях, проводимых органами власти и
управления старшего уровня.
63
Защита видео-трафика в сети Клиники обеспечивается
организационными методами для чего в Клинике создается соответствующий
регламент. В регламенте необходимо указать следующие меры по защите
данных: лицо, ответственное за использование программы, список лиц,
имеющих право использовать данную программу, утвержденный порядок
использования программы.
Обеспечение подлинности сетевых соединений (сеансов
взаимодействия), в том числе для защиты от подмены сетевых устройств и
сервисов осуществляется с помощью механизмов криптографического
шлюза ПАК ViPNet Coordinator HW 1000/100 в соответствии с «ПАК ViPNet
Coordinator HW. Руководство администратора».
Исключение возможности отрицания пользователем факта отправки
информации другому пользователю осуществляется с помощью механизмов
средства защиты информации от несанкционированного доступа Secret Net 7
в соответствии с «средства защиты информации от несанкционированного
доступа Secret Net 7. Аудит».
Исключение возможности отрицания пользователем факта получения
информации от другого пользователя осуществляется с помощью
механизмов средства защиты информации от несанкционированного доступа
Secret Net 7 в соответствии с «средства защиты информации от
несанкционированного доступа Secret Net 7. Аудит».
Защита архивных файлов, параметров настройки средств защиты
информации и программного обеспечения и иных данных, не подлежащих
изменению в процессе обработки информации, осуществляется с помощью
механизмов средства защиты информации от несанкционированного доступа
Secret Net 7 в соответствии с «Средство защиты информации от
несанкционированного доступа Secret Net 7. Руководство администратора.
Управление. Основные механизмы защиты».
Сегментирование АСЗИ и создание многоуровневой
(эшелонированной) системы защиты информации в Клинике нет