Необходимо регулярно делать резервные копии всех основных служебных
данных и программного обеспечения.
Только специалисты Отдела информационных технологий на основании
заявок руководителей подразделений могут создавать и удалять совместно
используемые сетевые ресурсы и папки общего пользования, а также управлять
полномочиями доступа к ним.
Сотрудники имеют право создавать, модифицировать и удалять файлы и
директории в совместно используемых сетевых ресурсах только на тех участках,
которые выделены лично для них, для их рабочих групп или к которым они
имеют санкционированный доступ.
Все заявки на проведение технического обслуживания компьютеров
должны направляться в отдел информационных технологий.
В качестве одного из документов по обеспечению информационной
безопасности разработаны «Общие требования по обеспечению
информационной безопасности», текст которых приведен в Приложении.
2.2 Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия
2.2.1 Структура программно-аппаратного комплекса
информационной безопасности и защиты информации предприятия
На основании ранее выполненных анализа угроз и рисков
информационным активам можно сделать вывод, что для повышения уровня
защиты информации в ООО «Альянс» необходимо применять систему контроля
и управления доступом (СКУД).
СКУД является совокупностью средств контроля и управления, имеющих
информационную, техническую, программную и эксплуатационную
совместимость.
Структурная схема СКУД приведена на рисунке 2.1.
АРМ
ПИ
СЧ
К1
ИУ
СЧ
КN
ИУ
СК
Сервер СКУД
…….
Рисунок 2.1 Структурная схема СКУД
На рисунке приведены следующие обозначения:
СРВ - сервер системы контроля доступа,
АРМ - автоматизированное рабочее место СКУД,
СК - системный контроллер СКУД,
К - контроллер системы контроля и управления доступом,
СЧ - считыватель системы контроля и управления доступом,
ИУ - исполнительное устройство СКУД,
ПИ - преобразователь интерфейса[14].
Сервер СКУД является местом хранения БД, базового ПО и его
дополнительных модулей. АРМ дает возможность работать с БД, программами и
модулями различным пользователям в соответствии с разграничением прав
доступа. Важно добавить, что иногда для управления и работы в системе нужен
только один компьютер, выполняющий в таком случае и роль сервера, и роль
рабочего места. Системные требования, как правило, невысокие и описаны в
документации производителя СКУД[10].
Подобный способ обеспечения защиты данных предполагает, что для
каждый системы будет разработан механизм ведения деловой деятельности
компании, предусматривающий также возможность появления непредвиденных
обстоятельств (ликвидацию последствий наращения системы безопасности) и
включающий в себя определенную стратегию и некоторый план.
Можно выбрать три стратегии обеспечения ИБ, которые представлены в
таблице 5.
Оборонительная стратегия означает, что при исключении вмешательства в
процесс функционирования системы есть возможность нейтрализовать лишь
наиболее опасные угрозы. Обычно это возможно благодаря построению
защитной оболочки, которая подразумевает разработку дополнительных
организационных мер, внедрение новых программных средств допуска к
ресурсам в целом, применение технических средств контроля за помещениями, в
которых находятся сервера и терминалы.
Наступательная стратегия характеризуется активным противодействием
неизвестных угрозам, которые так или иначе влияют на безопасность ИС. Такая
стратегия может состоять из установки дополнительных программно-
аппаратных средств определения пользователей, использование более
совершенных технологий разгрузки и восстановления данных, увеличение
доступности системы при использовании горячего и холодного резервирования
(таблица 2.1).
Таблица 2.1
Стратегии обеспечения информационной безопасности
Учитываемые угрозы
Влияние на информационные системы
отсутствует
частичное
существенное
Наиболее опасные
Оборонительная
стратегия
Все
идентифицированные
угрозы
Наступательная
стратегия
Все потенциально
возможные
Упреждающая
стратегия
Упреждающая стратегия предполагает полное исследование всех
реальных угроз для системы обработки данных и создание адекватных мер по их
нейтрализации еще в процессе проектирование и разработки системы. Главной
частью упреждающей стратегии можно назвать оперативный анализ центров
исследования проблем ИБ, рассмотрение российского и мирового опыта в
отношении этих проблем, а также проведение независимого аудита степени
безопасности всех данных компании.
Определение защитной стратегии показывает, что если не брать во
внимание вмешательство в процесс работы ИС, то можно нейтрализовать лишь
самые опасные угрозы. Обычно это можно сделать построением «защитной
оболочки», которая определяет создание дополнительных организационных мер,
программных механизмов допуска, к ресурсам ИС, применение технических
средств контроля помещений, в которых находится все терминальное и
серверное оборудование.
Стратегия наступления предполагает весомое противодействие всем
известным угрозам, которые затрагивают ИБ системы. Подобная стратегия
обычно подразумевает установку дополнительных аппаратно-программных
средств для аутентификации пользователей, реализацию более новых
технологий восстановления и загрузки данных, увеличение доступности
системы благодаря горячему и холодному резервированию.
Опираясь на уже существующие угрозы, компания занимает
оборонительную стратегию.
Организационные методы инженерно-технической защиты данных часто
являются некой организационной защитой, основа которой – управление
доступом и регламентация. Подобные меры обычно позволяют определить
порядок и режимы работы технических средств защиты данных.
Регламентация подразумевает установление территориальных, временных
и других режимных ограничений в работе сотрудников компании с
техническими средствами, направленными на реализацию системы защиты
данных.
Обычно регламентация предусматривает:
Установку границ зон контроля;
Определение в каждой зоне своего уровня защиты;
Описание всей деятельности сотрудников и посетителей (составление
распорядка дня, правил поведения в компании и т.п.);
Описание режимов работы технических средств, в т.ч. сбора, обработки,
хранения и использования защищаемых данных на персональном компьютере,
передачи документов и сбора продукции.
Для примера, в распорядке дня компании всем сотрудникам, которые
работают с секретными документами, во избежание незаконного их
копирования, определяются правила работы с такими документации после
окончания рабочего дня. Пример следующий – установка времени работы с
секретными документами в электронном виде на персональном компьютере, в
течение которого во избежание утечек данных по каналам передачи данных
включается генератор радиопомех.
Управление доступом к данным подразумевает мероприятия, которые
могут обеспечить санкционированных доступ к ним людей, сигналов и средств.
Оно может включать в себя:
Определение лиц и обращений;
Сверку полномочий доступа к защищенной информации;
Запись всех обращений к защищенным данным;
Реагирование на обращение к данным.
Определение пользователей, посетителей, сотрудников и обращений по
каналам передачи данных используется для повышения надежности
распознавания.
Проверка полномочий может включать в себя определение прав тех лиц,
которые обратились к данным по каналам передачи информации. Для
реализации доступа уровень полномочий не может быть ниже разрешённого.
Для обеспечения контроля над прохождением носителей с конфиденциальными
данными реализуется регистрация обращений к ним методом записи в карточке,
журнале либо на магнитном носителе.
Реакция на любое обращение к данным заключается либо в разрешенном к
ней доступе, либо в отказе от него. Отказ может дублироваться включением
сигнализации, отправкой оповещение в службу безопасности и
правоохранительные органы, задержанием нарушителей при их попытке
несанкционированного доступа к защищаемым данным.
По имеющемуся прав постоянного или разового доступа в зону контроля
удаленной системы, нарушителей делят на эти два типа:
• Нарушители, которые не имеют доступа к видеонаблюдению, и
поэтому реализующие угрозы из под внешней сети общего пользования или
глобально сети Интернет;
• Нарушители, которые имеют доступ в удалённою систему
видеонаблюдения, включая всех пользователей этой системы, и реализуют
угрозы непосредственное прямо в системе – внутренние нарушители.
Внешними нарушителями обычно бывают:
• Службы разведки других государств;
• Криминальные элементы;
• Конкуренты (организации);
• Нечистые на руку партнеры;
• Внешние субъекты (физические лица).
Внутренние же потенциальные нарушители делятся на 8 категорий и
различаются способом доступа и полномочий доступа с самой системе.
Возникновение угрозы несанкционированного доступа к данным может
приводить к нескольким видам нарушения их безопасности:
• Нарушение целостности данных (изменение или уничтожение);
• Нарушение конфиденциальности (распространение, разглашение,
копирование);
• Нарушение режима доступа (блокировка);
Конфиденциальность данных может быть нарушена в сеющих случаях
при их утечке:
• Копирование на отчуждаемые носители, диски или флэшки;
• Передача по каналам связи;
• Просмотре или ее модификации при выполнении ремонтных,
восстановительных или диагностических работ;
• При сборе мусора нарушителем в процессе работы с УСВН.
Создание угрозы исчезновения видовой информации реальна только при
помощи просмотра информации специальными оптикоэлектронными
средствами с экранов мониторов и других средств отображения графических
данных, вычислительно-информационных комплексов, а также технических
средств обработки аудио, звука или изображения, а также другой информации,
входящей в состав УСВН.
Несанкционированный доступ тесно связан с деятельностью нарушителей,
включая сотрудников компании, осуществляющих вход в УСВ, а также
взломщиков, не имеющих доступа к УСВН, реализующих свои угрозы через
внешние источники – сети общего использования или сети корпоративного
обмена.
Для применения в ООО «Альянс» выбрана СКУД «Smartec».
В состав СКУД будет входить следующее оборудование:
Программное обеспечение «Timex»;
Контроллер ST-NC441B
Комбинированный биометрический считыватель Smartec ST-
FR031EM
Устройство разблокировки дверей ST-ER115
Назначение программного обеспечения «Timex»- управление
интегрированной системой безопасности, включающей следующие компоненты:
контроль доступа
учет рабочего времени
видеонаблюдение
охранная сигнализация
печать пропусков
интеграция с внешними системами
дизайнер отчетов
«Таймекс» позволяет вести БД сотрудников предприятия с иерархией по
компаниям, департаментам и отделам. При этом предусмотрены возможности
группировки сотрудников для оперативного управления. Также поддерживается
справочник должностей и имеется возможность учета принятых и уволенных
сотрудников. Данные о сотрудниках можно импортировать из .csv-файла или из
любой системы (например, «1С: Предприятие») с помощью Timex SDK.
Благодаря клиент-серверной архитектуре, система «Таймекс» позволяет
подключить неограниченное число дополнительных рабочих мест. Для каждого
оператора «Таймекс» можно установить не только права доступа к компонентам
системы, но и индивидуально настроить параметры рабочего места.
ПО «Таймекс» позволяет отслеживать действия операторов системы, а
также вести журнал внесенных изменений, что особенно важно для обеспечения
безопасности объектов.
В программе реализована возможность организации глобальных связей,
что позволяет гибко настраивать реакцию системы контроля доступа и учета
времени на любые события, инициированные устройствами или операторами
(например, проход через терминал или вход в программу). Причем любой
триггер можно настроить на срабатывание не только при условии единичного
события, но и их группы, при этом по триггеру может быть отправлено SMS или
Email-оповещение. Благодаря интеграции «Таймекс» с охранной сигнализацией
Satel и системой видеонаблюдения Smartec, в качестве триггеров могут
выступать события, зафиксированные этими системами.
Возможна отправка уведомлений о событиях по SMS и e-mail. В качестве
примера использования SMS-уведомлений можно привести нотификацию
родителей о проходе учащихся через точки доступа, расположенные в школах.
При работе в режиме сервера приложений, ПО «Таймекс» позволяет
вынести на отдельный сервер прикладную логику, что является оправданным в
условиях распределенных информационных систем. Благодаря этому,
становится возможным снизить требования к аппаратному обеспечению
клиентов и пропускной способности сетей передачи данных, кроме того,
существенно повышается уровень безопасности за счет исключения прямого
доступа приложения к базе данных.
Реализованная в данном ПО мультисервисная архитектура, где каждый
сервис отвечает за связь со своим набором оборудования, позволяет повысить
устойчивость системы в целом, особенно при реализации распределенных
систем с проблемными каналами связи.
Программное обеспечение Timex будет включать следующие модули:
Timex Free, бесплатная версия ПО Timex
Timex Base, базовый модуль
Timex AC, модуль контроля доступа
Timex TA, модуль учета рабочего времени
Timex GT, модуль контроля маршрутов
Timex Checkpoint, модуль фотоверификации
Timex ID, модуль печати пропусков
Timex RD, модуль редактора отчетов
Контроллер ST-NC441B предназначен для построения сетевых систем
контроля доступа на базе программного обеспечения «Таймекс».
Рисунок 2.2 Контроллер ST-NC441B
В случае отсутствия постоянного подключения к серверу, система
продолжает выполнять свои функции в автономном режиме с полным
сохранением работоспособности.
Сетевой контроллер ST-NC441BКонтроллер имеет 2 Ethernet порта,
работающих в режиме повторителя, что позволяет использовать второй порт для
подключения новых контроллеров для упрощения инсталляции. 4 порта
контроллера предназначены для подключения любых считывателей с
интерфейсами Wiegand 26 или Wiegand 34.
Программируемые входы/выходы
Контроллер имеет свободно программируемые входы и выходы, которые
могут быть сконфигурированы для контроля стандартных устройств (кнопки
выхода, датчики положения двери, электромагнитные замки), для контроля
любых других устройств (датчики охранной сигнализации) или для управления
какими-либо устройствами в ручном или автоматическом режиме.
Функциональные возможности
Поддержка до 4 дверей или 2 турникетов
Поддержка считывателей Wiegand 26 и Wiegand 34
Виды идентификации: карта, код, карта И код, карта ИЛИ код
Ethernet порта, работающих в режиме повторителя
Шифрование связи
Свободно программируемые входы/выходы
12 контролируемых входов
6 релейных выходов
Универсальный считыватель Smartec ST-FR031EM позволяет ограничить
доступ в помещения путем идентификации персонала по отпечаткам пальцев и
картам стандарта Em Marine.
Рисунок 2.3 Универсальный считыватель Smartec ST-FR031EM
Устройство оснащено контроллером СКУД и имеет релейный выход для
управления замком двери, за счет чего этот биометрический считыватель может
использоваться для ограничения доступа в автономные помещения. Через
специальные входы ST-FR031EM позволяет подключить кнопку запроса на
выход и датчик положения двери, а для сигнализации о несанкционированном
вскрытии его корпуса имеется тамперный контакт. Благодаря Wiegand-
интерфейсу, биометрический ридер может быть интегрирован в СКУД любых
производителей.
Основное достоинство, которым обладает данный считыватель Smartec,
заключается в том, что он обеспечивает высокий уровень безопасности, т.к.