8
ВВЕДЕНИЕ
Защита информационных ресурсов как для государственных
организаций, так и частных компаний - одна из наиболее важных и
приоритетных задач, стоящих перед ними. Несанкционированное
использование, изменение или распространение информации
злоумышленниками приводит к негативным последствиям для организаций и
предприятий – собственников этих данных. Существующая проблема
актуальна во всем мире, она требует от органов государственной власти
принятия конкретных и эффективных мер, направленных на устранение этой
проблемы.
Согласно Федеральному закону «Об информации, информационных
технологиях и о защите информации» (№_149-ФЗ) защита информации
представляет собой принятие правовых, организационных и технических
мер, направленных на:
обеспечение защиты информации от неправомерного доступа, удаления,
изменения, блокирования, копирования, предоставления,
распространения, а также от иных незаконных действий в отношении
такой информации;
поддержание конфиденциальности информации ограниченного доступа;
реализацию права на доступ к определенной информации.
Государственное регулирование отношений в сфере защиты
информации начинается с установки определенных требований о защите
информации, а также ответственности за нарушение законодательства
Российской Федерации об информации, информационных технологиях и о
защите информации.
В январе 2007 года в России вступил в силу Федеральный закон «О
персональных данных»(№_152-ФЗ), который требует от каждой организации,
обрабатывающей персональные данные своих сотрудников, клиентов и
партнеров, обеспечить конфиденциальность персональной информации и
9
принять все необходимые меры против изменения, блокирования,
копирования, распространения данных и иных неправомерных действий.
Поскольку под понятием «Персональные данные» подразумевается
личные данные человека: фамилия, имя, отчество, дата и место рождения,
адрес, семейное, социальное и имущественное положение, образование,
профессия, информация о доходах и многое другое, то защита персональных
данных нужна практически любой организации, в которой работают с
персональными данными людей. В случае нарушения положений закона №
152-ФЗ о защите персональных данных организация может быть привлечена
к судебному разбирательству (вплоть до приостановления действий,
лицензий), а виновные лица – к гражданской, уголовной, административной
и дисциплинарной ответственности.
Дипломная работа рассматривает процесс разработки комплексной
системы защиты информации на примере определенной компании.
Целью настоящей дипломной работы является создание комплексной
системы защиты информации ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ»
на основе актуальных требований нормативно-правовых и методических
документов РФ в данной сфере.
Для достижения цели работы необходимо решить следующие задачи:
1. проанализировать актуальную в настоящее время нормативно-правовую
основу разработки комплексных систем защиты информации в России;
2. охарактеризовать процессы обработки данных, классифицировать и
категорировать объекты и субъекты информации в информационном
центре;
3. построить модель угроз безопасности информации в информационных
системах центра;
4. разработать план организационных мероприятий и пакет
организационно-распорядительной документации по защите
информации в центре;
5. разработать технический проект комплексной системы защиты
10
информации (СКЗИ) в информационном центре;
6. Оценить экономические затраты на реализацию проекта системы
защиты информации;
В ходе работы были использованы современные методы и средства
защиты информации, имеющие соответствующие государственные
сертификаты.
При написании дипломного проекта были применены такие методы
научного исследования, как изучение научной литературы по теме
исследования, нормативно-правовой базы, аналитический и
экспериментальные методы
11
I АНАЛИТИЧЕСКАЯ ЧАСТЬ
1.1. Технико-экономическая характеристика предметной области и
компании.
1.1.1. Общая характеристика предметной области.
В качестве объекта защиты рассматривается трехэтажное здание ООО
"Юнайтед Иншуренс Компани".
Объект защиты располагается городе Москва, ул.Складочная, д.1,
стр.18. Здание представляет собой трехэтажное кирпичное здание.
Первый этаж ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» разделен
на два крыла. Левое крыло занимает ФМС (имеет свой вход, с торца здания,
отгороженный металлическим забором высотой 2,5 метра).
Правое крыло, а также второй и третий этажи полностью занимает
ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ».
По периметру здание ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ»
огорожено металлическим забором решетчатого типа выстой 2,5 метра.
Забор имеет два проёма, снабженных механическими воротами для
автомашин и калитку с электронным замком и видеодомофоном для
сотрудников и посетителей.
На территории ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ»
расположена открытая стоянка для 10 автомашин, три бокс – гаража и дворик
для сотрудников и посетителей.
Категорирование объекта защиты
Для построения комплексной защиты информации необходимо
разделить защищаемый объект на зоны:
Выделенные помещения
К выделенному помещению относится кабинет руководителя ООО
«ЮНАЙТЕД ИНШУРЕНС КОМПАНИ». Помещение предназначено для
проведения закрытых мероприятий конфиденциального характера.
Помещения ограниченного доступа
12
Вход ограничен в кабинет отдела кадров, где хранятся личные дела
служащих и другие персональные данные. Так же вход воспрещен в
серверную.
Помещения общего доступа
Все остальные помещения отнесены к общедоступным, но при этом
вход и выход в здание осуществляется строго по электронным пропускам. За
соблюдением пропускного режима следят сотрудники отдела
вневедомственной охраны по г. Москва (ФГКУ УВО УМВД)
Специальные хранилища информации
Хранилищами информации являются сейфы и металлические шкафы
расположенные практически в каждом кабинете. Предназначены для
хранения обычных и конфиденциальных документов.
Основные виды деятельности
Компания «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» занимается
консалтингом услуг на Российском рынке.
Основные направления деятельности:
Юридические консультации
Вызов экстренных служб
Устная помощь в составлении документов
Письменные комментарии документов
Аудиозапись разговора
Предоставление образцов и типовых бланков документов
Удаленное сопровождение
Основные характеристики видов деятельности
Основные характеристики, определяющие масштаб и эффективность
деятельности ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ», представлены в
таблице 1.
Таблица 1
13
Основные характеристики (показатели эффективности) видов
деятельности
№
п\п
Наименование характеристики (показателя)
Значение показателя за
период 1 месяц
1
Документооборот с внешними организациями
450-550 писем
2
Документооборот (электронный) с внешними
организациями
5500-6000 писем
3
Информационные ресурсы файловых серверов (базы
данных, инструменты разработки и тестирования,
информационные каталоги клиентов и партнеров)
4-5 Тбайт
4
Передача данных по защищенным каналам связи
(VipNet)
5-10 Гбайт
5
Удаленное сопровождение партнеров и клиентов
компании по средствам RDP и VPN
10-15 Гбайт
1.1.2. Организационно-функциональная структура компании.
В состав Компании входят следующие структурные подразделения
(рис 1.2):
Аналитический отдел;
Отдел разработки программного обеспечения
Отдел информационного сопровождения;
Отдел бухгалтерского учета и делопроизводства;
Руководство
Общая численность сотрудников, включая руководство компании
составляет 20 человек.
Рисунок 1. Структурная схема Компании
Руководство
Отдел бухгалтерского
учета и делопроизводства
Отдел взаимодействия с
правоохранительными
органами
Отдел
информационного
сопровождения
Отдел разработки
ПО
Аналитический отдел
14
Структура и топология информационной составляющей
В состав ЛВС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» входят
три сервера.
Сервер с доменным именем devprom2.yiilab.ru – контролер домена,
является основным сегментом локальной вычислительной сети ООО
«ЮНАЙТЕД ИНШУРЕНС КОМПАНИ».
На сервере располагаются основные ресурсы пользователей и базы
данных ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ».
Для работы с конфиденциальными документами выделен специальный
файл – сервер – https://ps.yiilab.com/TeamPass/ Данный ресурс не входит в
общую ЛВС. Сервер ограниченного доступа.
Третий сервер – yiilab.ru – интернет шлюз, входящий в общую ЛВС,
предоставляет доступ пользователям к глобальной сети Интернет.
В качестве резервного копирования используется сетевое хранилище,
построенное на базе WD My Book Live Duo.
Организация ЛВС ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ»
представлена на логической схеме (рис.1.4).
Полное описание информационной составляющее (АС и периферийное
оборудование) ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» представлено в
Приложении 1.
Руко
водс
тв
«Юн
айте
д
Инш
урен
с
дан
ным
пись
мом
подт
15
1.2. Анализ рисков информационной безопасности.
Аудит информационной безопасности – системный процесс получения
объективных качественных и количественных оценок о текущем состоянии
информационной безопасности компании (организации, компании) в
соответствии с определенными критериями и показателями безопасности.
При проведении аудита необходимо руководствоваться основными
характеристиками видов деятельности ООО «ЮНАЙТЕД ИНШУРЕНС
КОМПАНИ».
Аудит информационной безопасности ООО «ЮНАЙТЕД ИНШУРЕНС
КОМПАНИ» проводится раз в 1,5 года. Решение о проведении аудита
принимает руководство компании.
В ходе аудита ИБ будет проведен анализ используемой информации,
определены её виды, гриф и степень секретности, ценность, актуальность и
важность. Будут выявлены все виды угроз, которым может быть подвергнут
защищаемый объект и все возможные каналы утечки информации.
Область применения аудита информационной безопасности в ООО
«ЮНАЙТЕД ИНШУРЕНС КОМПАНИ»:
- организационно – правовое направление проведение аудита
- программно – аппаратное направление проведение аудита
- инженерно – техническое направление проведение аудита
Результатом проведения аудита безопасности объекта будет оценка
эффективности действующей системы защиты информации и принятие
решения о выше изложенных направлениях её модернизации или разработки
принципиально новой модели информационной защиты.
Для достижения поставленной цели необходимо:
проанализировать обрабатываемую информацию
определить степень конфиденциальности информации
проанализировать правовые аспекты информационной
безопасности
16
изучить программно – аппаратные ресурсы, инженерно –
техническую оснащенность
провести количественные и качественные оценки ценности и
актуальности информационного ресурса, а также потенциальный уровень
угроз информационному ресурсу;
1.2.1 Идентификация и оценка информационных активов.
К информационным активам относятся информационные ресурсы,
содержащие информацию ограниченного распространения, и
информационные ресурсы, содержащие общедоступную информацию
компании ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ».
В процессе изучения информационных ресурсов ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ», были выделены два наиболее важных источника
информации, требующие анализа и защиты:
документооборот;
доступ к проектам
доступ к базам данных и конфедециальной информации
Документооборот — деятельность по организации движения
документов на предприятии с момента их создания или получения до
завершения исполнения: отправки из организации и (или) направления в
архив [Ошибка! Источник ссылки не найден.].
1. Документооборот разделен на классический (бумажный) и
электронный, что в определенной мере создает неудобство при обработке
документов. В данном случае возможна утрата важной информации по вине
сотрудников, кража и перепродажа данных заинтересованным лицам.
2. При передаче и приеме информации по электронным каналам
связи с использованием криптографических средств защиты не уделено
должное внимание хранению ЭП, что в свою очередь может привести к
утрате или краже средств аутентификации.
17
3. При рассмотрении структуры электронного документооборота,
отмечается, что при обработке конфиденциальной информации на многих
АРМ не установлены программно – аппаратные комплексы защиты от НСД,
что в определенной степени также может привести к утрате, краже или
искажению информации.
Объект информатизации (доступы к проектам и базам данных)–
совокупность информационных ресурсов, средств и систем обработки
информации, права доступа к ним.[Ошибка! Источник ссылки не найден.].
Отметим, что к информационным ресурсам ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ» также относится сетевое, серверное и
периферийное оборудование.
Если рассматривать документооборот и объекты информатизации в
целом, то эти два важных информационных ресурса не существуют в рамках
ООО «ЮНАЙТЕД ИНШУРЕНС КОМПАНИ» самостоятельно. Их полное
функционирование возможно лишь единым информационным блоком.
Структурировано информация об активах ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ» представлена в таблице 2.
Рассмотрев информационную составляющую ООО «ЮНАЙТЕД
ИНШУРЕНС КОМПАНИ», можно условно разграничить информационные
потоки, содержащие, как конфиденциальные, так и не конфиденциальные
сведения (табл. 3).
В случае разграничения информации на группы по
конфиденциальности, основным ориентиром служит законодательство
Российской Федерации в сфере защиты информации [Ошибка! Источник
ссылки не найден.,Ошибка! Источник ссылки не найден.,Ошибка!
Источник ссылки не найден.].
Одним из основных этапом проведения аудита безопасности, является
выделение наиболее важных активов, т.е. тех активов, утрата или порча