56
• стратегия
информационных
информационной безопасности
вестибюльном
описывает необходимость
автострахования
иметь
поддержку
RS
высшего руководств, а
город
компании путем
одну
утверждения стратегии
DSCP
информационной безопасности;
•
мерах
организационные вопросы -
распределенной
дает рекомендации
соответствующих
по форме
охраны
управления орга-
низации,
воспользоваться
оптимальной для
террористических
реализации системы
поддержки
информационной безопас-
ности;
•
массовой
классификация информационных
каждой
ресурсов - описывает
ALE
необходимые меры
генераторов
по обеспечению
подтвердить
безопасности информационных
проходить
ресурсов и носителей
кабелем
ин-
формации;
• управление
персонального
персоналом - описывает
архив
влияние человеческого
технической
фактора на
применяется
ин-
формационную безопасность и
залами
меры, натравленные
неизвестного
на снижение
предлагаемой
соответ-
ствующего риска
•
тратить
обеспечение без
разрушения
веской безопасности -
информацию
описывает мероприятия
прежде
по обеспе-
чению ф
неотказуемость
из веской
конкретного
безопасности компонентов
Прошлые
информационной инфра-
структуры;
•
затопления
администрирование информационных
считать
систем - описывает
единый
основные аспек-
ты
исключить
безопасности при
бесплатному
работе с серверами,
излучения
рабочими станциями и
внешних
другими
информационными
систему
системами;
• управление
от
доступом описывает
расходы
необходимость четкого
другими
разграничения
прав и
Инциденты
обязанностей при
природа
работе с информацией;
•
Конституцией
разработка и сопровождение
вычислений
информационных систем
замка
описывает основ-
ные
адекватную
механизмы обеспечения
сетей
безопасности информационных
вынести
систем;
• обеспечение
контроль
непрерывности бизнеса -
необходим
описывает мероприятия
имеющего
по обеспе-
чению
турникет
непрерывной работы
отсутствуют
организаций;
• обеспечение
реализуется
соответствия предъявляемым
расширенный
требованиям - описывает
адресации
общие
требования к
штатную
системам информационной
актам
безопасности и мероприятия
деятельностью
по
проверке
образцы
соответствия систем
направо
информационной безопасности
анализ
этим требо-
ваниям.
57
2.1.2.
Установлено
Организационно-административная основа
являющихся
создания системы
смыслу
обеспечения информационной
выпущен
безопасности и защиты
Упреждающая
информации предпри-
ятия.
В
объектом
основе построения
всем
скорректированной системы
основным
безопасности лежит
руководств
уве-
личение значений
включенной
показателей из
законности
таблицы 1.11. В качестве
отличия
исходного момента
Центральном
ис-
пользуется модель,
экономическую
представленная на
работают
рисунке 2.1. Основные
возможностями
операции по
агрегация
приему
посетителей в
количественных
которой выполняют
данную
администратор и тренеры, в
цикл
том числе и
Ri
специ-
ально обученные
аутентификационной
для работы с
кондиционера
посетителями с инвалидностью.
CoS
Эта модель
точек
требует разделения
пример
потоков посетителей в
угол
зависимости от
терминальное
обу-
чения тренеров (с
переносятся
такими посетителями
Основная
могут работать
назначению
лишь только
Аналогично
те тренеры,
доверия
которые прошли
Маловероятно
спецподготовку). Разделение
просмотра
потока возможно
помянутого
сразу же
каков
на входе
косвенные
при прикладывании
критичности
карты к мишени
распределяющего
турникета. На
проберется
ресепшн администратор
передаются
сразу
получает
грунтовых
сведения от
общегородской
системы СКУД и
одно
сообщает тренеру о
разведка
прибытии посетителя,
в
методиками
том числе и с
собственностью
инвалидностью.
2.2. Комплекс
СКУД
проектируемых программно-аппаратных
программируемой
средств обеспе-
чения
локальных
информационной безопасности и
неисполнения
защиты информации
побочных
предприятия.
2.2.1 Структура
Из
программно-аппаратного комплекса
Эта
информационной
безопасности и
руководстве
защиты информации
решать
предприятия.
Для
воздействий
реализации комплексной
Осуществляется
системы информационной
архивов
защиты компании,
преднамеренности
следует определить
носители
организационно-административную основу
некоторые
для ее
различная
построения.
А ее
QoS
следует создавать
фирмой
на основе
количественные
новой модели
добавление
угроз, которую
двухэтажный
следует принять
поставляется
за
базу
террористической
для построения
Замечаются
такой системы.
обшивка
Такая модель
Персональный
представлена далее.
демодуляторы
Угрозой безопасности
радиоэлектронной
информации является
разрушение
возможная опасность
интерфейса
нару-
шения основных
больше
качественных характеристик (свойств)
изменениям
информации при
складывается
ее обра-
ботке
настольный
техническими средствами:
установлено
конфиденциальности, целостности,
средний
доступности
9
.
Реализация
затопления
любой угрозы,
через
как правило,
отвечают
приводит к ущербу.
9
Определение угрозы Википедия, свободная энциклопедия. [Электронный ресурс] режим доступа
/https://ru.wikipedia.org/wiki
Посещение центра физической культуры
Посетитель
Администратор
Инструктор
Инструктор для
доступной среды
Выбрать инструктора для занятий
Совместно
с инструктором
совместно
Обращается в
ЦФКиС
Тренируется
в ЦФКиС
Обратиться к
администратору
ЦФКиС
Принять
обращение
посетителя
Составить график
тренировок
Свериться с
графиком
тренировок
Свериться с
графиком
тренировок
Подготовить договор
предоставления услуг
Выбрать
график
тренировок
Для
отчета
График
тренировок
Договор
Подписать
договор услуг
Приступить к
тренировкам
вопрос
Рис.2.1. Модель
Уязвимы
основного бизнес-процесса
групп
работы с посетителями
потенциальный
ГБУ «ЦФКиС ЦАО г.
дорожка
Москвы»
62
Под
прямых
ущербом следует
распоряжение
понимать качественный
Приемник
или количественный
растет
пока-
затель, определяющий
показателем
степень затрат
конфиденциального
необходимых для
инструментами
восстановления харак-
теристик
текучесть
некоторого объекта,
актуальность
на котором
электромагнитные
была реализована
недоступности
угроза, или
умышленного
инфра-
структуры, в чьих
модуль
интересах этот
идентифицированы
объект функционирует.
электромагнитными
Ущерб может
беспроводной
быть
либо
Угрозой
фактическим, либо
условием
прогнозируемым. Это
информационную
зависит от
шифрования
того была
знаний
ли реализо-
вана
Осведомлен
угроза или
бит
нет. [15] При
видеоконтента
разработке улучшенной
указанные
системы компании
несвоевременного
следу-
ет стремиться к
Хранится
тому, чтобы
Датчики
угрозы не
ISO
могли реализоваться.
получатель
Это возможно в
выпущен
том случае,
включать
если в системе
факсимильных
отсутствуют уязвимости,
подвергаемый
либо противник
единицах
не может
Приложения
их выявить.
какого
Под уязвимостью
проведено
будем понимать
которой
свойство объекта,
интерфейсы
использование
которого
доказало
может привести к
мире
реализации угрозы
10
.
приемной
Все меры
эти
по пресечению
воздействий
реа-
лизации угроз
ноябре
должны представлять
расстояние
собой меры
Центр
по устранению
причины
уязвимостей в
имеющейся
Значения
системе или
служебных
невозможности их
состоящей
использования.
Соотношение
Vi
угрозы и уязвимости
Москвы
не будет
иногда
полным если
распределительные
не учесть
минимальными
то,
что
интернет
угроза реализуется,
потенциальной
при применении
старая
того или
чтение
иного способа
различных
использования
уязвимости.
Antivirus
Для дальнейшего
контрактной
понимания сути
материалов
предлагаемых мер и
совершали
способов
защиты
защите
воспользуемся определениями:
1.
муниципальных
Безопасность информации
особую
определяется как
злоумышленниками
состояние защищен-
ности
Атаки
информации, обрабатываемой
согласовала
средствами вычислительной
результатов
техники или
преобразование
автоматизированной системой,
минимальную
от внутренних
выпущен
или
внешних
устанавливать
угроз
11
.
2. Информационная
природа
система (ИС) - система,
определенная
состоящая из
функционировать
персонала
и комплекса
еще
средств автоматизации (КСА)
целесообразно
его деятельности,
надзором
реали-
зующая информационные
Штатная
технологии выполнения
методические
установленных
функций
12
.
подлинности
Составляющие ИС в
бит
данном случае
продукции
рассматриваются
как
происходили
объекты, подвергаемые
здание
угрозе.
10
В толковом словаре Ожегова слова «угроза» и «уязвимость» толкуются как «возможная опасность» и «сла-
бое место» соответственно.
11
«РД Гостехкомиссии РФ. Защита от НСД. Термины и определения»
12
ГОСТ 34.003
Информационная технология. Комплекс стандартов на автоматизированные системы. Терми-
ны и определения
63
Исходя
администраторами
из определений,
Могут
модель структуры
попыткам
ИС будет
государственного
содержать элемен-
ты,
среднегодовые
показанные на
цепи
рисунке 2.3. Сплошными
количеством
стрелками показаны
критичной
потоки инфор-
мации (в
зон
виде управляющих
механические
данных или
одинаковой
данных для
главных
обработки). Отметим,
Основными
что
потоки
Акты
информации между
достаточными
элементами также
та
происходят в средах
тайны
распростра-
нения информационных
итоге
сигналов, на
современном
рисунке не
опасного
показанных, но
представить
способы их
без
ис-
пользования для
мишенью
реализации угроз, в
внедренные
принципе, совпадают
влияния
со способами
Считыватель
ис-
пользования выделенного в
метрах
качестве независимого
неразрешенное
элемента с таким
применением
же назва-
нием.
Win-7
MS Office-
2007
Kaspersky
Antivirus
MS Access-2007
(Клиенты)
Win-7
MS Office-
2007
Kaspersky
Antivirus
1C v 8.2
Win-8.2
MS Office-
2007
Nod-32
МФУ центра
Бухгалтерия
Ресепшн
Общий отдел
состоит
Рис. 2.2 Модель
актив
старой ИС
приемлемое
компании
Следует
кондиционеры
обратить внимание
размеров
на такие
одинаковой
элементы ИС
проверить
как персонал
облачными
компа-
нии и обслуживающий
использовании
персонал обеспечения
мониторинга
функционирования ИС. В
нанести
отличие
от
Замечаются
других элементов
характеристику
ИС, функционирующих
детализации
детерминировано, персонал и
свою
об-
64
служивающий персонал
небольших
может быть
поворотным
как сам
зависел
подвержен угрозам,
компонентам
так и являться
ИК
исполнителем способов
украсть
реализации угроз.
пользователем
Способы реализации
венткамеры
угроз, очевид-
но,
те
будут разные
беспокойство
на отдельных
географическое
этапах жизненного
залог
цикла автоматизированных
враждебном
систем: разработки,
техническая
эксплуатации и снятия с
воспроизводимые
эксплуатации. Все
предназначена
способы реали-
зации
что
угроз в ИС
повседневной
можно разделить
транспортированию
на элементарные
13
и
Операционные
комплексные
14
.
Элементарные
статистика
способы реализации
определены
угроз для
гостевых
каждого элемента
реестры
разраба-
тываемой ИС
эксплуатацию
перечислены ниже (средства
последнем
защиты информации, в
Поясним
общем виде,
охранниками
состоят из
абсолютных
таких же
органов
элементов, как и
пароли
ИС, и все
Находятся
сказанное в отношении
реструктуризацию
ИС бу-
дет
том
верно и для
Осведомлен
средств защиты
являющихся
информации).
На
составной
этапе разработки.
1.
расходуется
Средства обработки
вмешательство
информации.
1) Включение
рисками
закладок в алгоритм
конфиденциальной
функционирования.
2) Внесение
развертывание
ошибок в алгоритм
подробной
функционирования.
3) Включение
задачи
технических (электромагнитных и т.п.) закладок.
4)
примера
Выбор ненадежных, с
зального
эксплуатационной точки
действий
зрения, материалов.
5)
Andriod
Внесение ошибок в
каков
документацию.
6) Включение
символов
закладных алгоритмов
сообщениях
действий персонала в
кондиционер
эксплуата-
ционную документацию (инструкции).
2.
фильтрации
Средства ввода/вывода
двумя
информации.
1) Включение
турникетом
закладок в алгоритм
оценку
ввода/вывода.
2) Внесение
относящихся
ошибок в алгоритм
набрать
ввода/вывода.
3) Включение
состоящую
технических (электромагнитных и т.п.) закладок.
4)
постороннего
Выбор ненадежных, с
привлекательными
эксплуатационной точки
способы
зрения, материалов.
5)
Перехват
Внесение ошибок в
надежность
документацию.
6) Включение
техническим
закладных алгоритмов
ISO
действий персонала в
Несанкционированная
эксплуата-
ционную документацию (инструкции).
13
Под элементарным способом реализации угрозы будем понимать такой, который использует только отдель-
ный элемент ИС.
14
Под комплексным способом – некоторую совокупность элементарных способов над несколькими элемента-
ми ИС.
65
3.
учитываются
Средства хранения
водопроводам
информации.
1) Включение
незначительно
технических (электромагнитных и т.п.) закладок.
2)
указывали
Выбор ненадежных, с
непротиворечивость
эксплуатационной точки
записывать
зрения, материалов.
3)
узлах
Внесение ошибок в
бункер
документацию.
4. Средства
триаду
передачи информации.
1)
коммуникации
Включение технических (электромагнитных и т.п.)
ОПС
закладок.
2) Выбор
основным
ненадежных, с эксплуатационной
выдавать
точки зрения,
необычной
материалов
и видов
Представляют
сигналов для
осуществляет
передачи информации.
3)
высказанные
Внесение ошибок в
смарт
документацию.
4) Включение
предназначенные
закладных алгоритмов
получения
действий персонала в
персонала
эксплуата-
ционную документацию (инструкции).
5.
коньке
Средства обеспечения
Автоматический
функционирования ИС.
1)
уровней
Включение технических (электромагнитных и т.п.)
механической
закладок.
2) Выбор
описанных
ненадежных, с эксплуатационной
проникновение
точки зрения,
интеллектуальная
материалов.
3) Внесение
частей
ошибок в документацию.
4)
Хранятся
Включение закладных
решений
алгоритмов действий
новая
персонала в эксплуата-
ционную
свою
документацию (инструкции).
6. Персонал.
1)
Персональный
Неверный расчет
выше
численной потребности
Компьютерная
персонала для
медных
эксплуата-
ции ИС.
2)
Преднамеренный
Преднамеренные ошибки в
спуска
численной потребности
помечены
персонала для
другим
эксплуатации ИС.
7.
вычислительного
Обслуживающий персонал.
1)
компания
Неверный расчет
Рекомендуемый
численной потребности
техническое
персонала для
узлах
эксплуата-
ции ИС.
2)
проектом
Преднамеренные ошибки в
привлекательность
численной потребности
формальными
персонала для
пожарная
эксплуатации ИС.
8.
непреднамеренные
Среда распространения
влияние
информационных сигналов (совокупностей
отражения
сиг-
налов).
1) Неверный
непосредственно
выбор среды
финансовые
распространения сигналов.
66
2)
насколько
Преднамеренный неверный
мишени
выбор среды
мог
распространения сигна-
лов.
Замена
На этапе
правовую
эксплуатации.
9. Средства
социальное
обработки информации.
1)
проходную
Уничтожение.
2) Удаление
комплексу
из технологического
детализации
цикла функционирования
годовая
ИС.
3) Изменение (модификация)
различной
алгоритма функционирования.
4)
находятся
Использование побочных
федеральным
излучений.
5) Штатное
применением
использование.
10. Средства
Несанкционированный
ввода/вывода информации.
1)
перемещениями
Уничтожение.
2) Удаление
варианта
из технологического
актуальность
цикла функционирования
Заключение
ИС.
3) Изменение (модификация)
которые
алгоритма ввода/вывода.
4)
решать
Изменение вводимой/выводимой
объясняется
информации
5) Использование
дальнейшего
побочных излучений.
6)
правопорядка
Штатное использование.
11.
праздника
Средства хранения
работника
информации.
1) Уничтожение.
2)
вероятность
Удаление хранимой
ошибки
информации из
выделенным
технологического цикла
анализируемый
функ-
ционирования ИС.
3)
генераторов
Изменение (модификация) хранимой
фактора
информации.
4) Использование
самостоятельных
побочных излучений.
5)
получатели
Штатное использование.
12.
экстремистов
Средства передачи
достаточное
информации.
1) Уничтожение.
2)
непреднамеренные
Удаление из
постоянное
технологического цикла
предприятию
функционирования ИС.
3)
пропуск
Изменение (модификация) алгоритма
скрученных
передачи информации.
4)
ограничительных
Изменение (модификация) передаваемой
Идентификация
информации.
5) Использование
черными
побочных излучений.
67
6)
видов
Штатное использование.
13.
упреждающей
Средства обеспечения
витой
функционирования ИС.
1)
непосредственной
Уничтожение.
2) Удаление
некоторого
из технологического
движение
цикла функционирования
Ранее
ИС.
3) Использование
труда
побочных излучений.
4)
величины
Штатное использование.
14.
расходов
Персонал.
1. Как
техническими
объект, подвергаемый
данных
угрозе
1) Уничтожение.
2)
являющимися
Удаление из
назад
технологического цикла
качественной
функционирования ИС.
2.
АКБ
Как объект,
работа
являющийся источником
Были
угроз
1) Внесение
интенсивности
ошибок в исходную
подход
информацию.
2) Внесение
горючим
ошибок в выходную
штатного
информацию.
3) Внесение
прослушивания
ошибок в управляющую
внесения
информацию.
4) Неверное
покрытых
принятие решений.
5)
Windows
Использование известной
отсутствие
информации для
обусловленного
передачи третьим
переменные
лицам.
6) Несанкционированный
оценок
доступ к техническим
Управление
средствам ИС.
7)
совершенствования
Включение нештатных
предоставляемые
средств в состав
пакетов
ИС
8) Несоблюдение
Электрические
правил эксплуатации
обеспечение
технических средств.
9)
природных
Анализ технологии
сервисах
функционирования ИС.
10)
предприятии
Реализация любого
исключить
способа осуществления
вторичное
угрозы другими
тысяч
элементами ИС.
11)
холодного
Штатная работа
руководств
персонала.
15. Обслуживающий
захватил
персонал.
1) Уничтожение.
2)
питающей
Удаление из
информативным
технологического цикла
зданию
функционирования ИС.
3)
материалов
Несоблюдение правил
доля
эксплуатации технических
положение
средств.
68
4) Использование
коммуникации
известной информации
администрирование
для передачи
беспроводной
третьим
лицам.
5)
актуально
Несанкционированный доступ к
прямая
техническим средствам
изделия
ИС.
6) Включение
технические
нештатных средств в
пренебрежимо
состав ИС.
7)
скрыть
Анализ технологии
контролем
функционирования ИС.
8)
обогреваемых
Реализация любого
тайне
способа осуществления
отказоустойчивость
угрозы другими
информативнв
элементами ИС.
9)
информационно
Штатная работа
подключить
персонала.
16. Среда
возможно
распространения информационных
другим
сигналов (совокупностей сиг-
налов).
1)
расследование
Изменение параметров
Сбои
среды.
2) Анализ
низкой
содержания сигналов.
3)
иную
Анализ динамики
сервисы
передачи сигналов
уязвимых
во времени.
4)
потенциал
Навязывание ложных
мотивы
сигналов.
5) Засорение
квалификацию
среды помехами.
6)
ныне
Анализ технологии
информационном
функционирования ИС.
7)
используют
Штатное использование
AC
среды.
Поясним
предшествовать
причину включения
выполнена
таких способов
автоматизируемых
реализации угроз,
коньке
как
«Штатное использование» и «Штатная
постоянная
работа». С первого
Событие
взгляда, кажется,
подогнаны
что
данные
договора
способы не
Praktika
приводят к реализации
сигналов
угроз. Однако,
Основным
представим ситуа-
цию,
раз
что противник
переход
захватил ИС,
мере
документацию, ключевые
государственные
документы и т.д. и
использует
внутримашинной
ИС в штатном
накопленная
режиме. Тогда,
применения
несмотря на
вредительство
штатную работу,
отсутствия
воз-
можно нарушение
посторонними
безопасности информации (см.
отличается
ниже таблицу 2.1).
посылка
На этапе
программно
снятия с эксплуатации.
17.
Легко
Средства обработки
обязанностями
информации.
1. Анализ
выделенного
на наличие
AntiSpam
уязвимостей. Поиск
наиболее
способов реализации
БД
угроз.
18. Средства
дверного
ввода/вывода информации.
1.
имеющимися
Анализ на
Технические
наличие уязвимостей.
территорию
Поиск способов
требуют
реализации угроз.
19.
кодекс
Средства хранения
Vводы
информации.
1. Анализ
частях
формата хранения
подвергался
информации.