56
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия. Политика информационной безопасности
Организационные методы защиты информационной безопасности
организации являются основой для системы защиты информации.
Организационные методы представляют собой четкие инструкции не только по
административным мерам защиты, но и инженерно-техническим методам.
Создание организационных мер обеспечения информационной
безопасности характеризуется следующими ограничениями [17]:
появление дополнительных ограничений для конечных
пользователей и специалистов подразделений обеспечения, затрудняющие
использование и эксплуатацию автоматизированной системы организации;
необходимость дополнительных материальных затрат как на
проведение таких работ, так и на расширение штата специалистов, занимающихся
проблемой информационной безопасности.
Экономия на информационной безопасности может выражаться в
различных формах, крайними из которых являются:
принятие только организационных мер обеспечения безопасности
информации в АС;
использование только дополнительных технических средств защиты
информации (ТСЗИ).
В первом случае, как правило, разрабатываются многочисленные
инструкции, приказы и положения, призванные в критическую минуту
переложить ответственность с людей, издающих эти документы на конкретных
исполнителей. Естественно, что требования таких документов (при отсутствии
соответствующей технической поддержки) затрудняют повседневную
деятельность сотрудников организации и как правило не выполняются.
Во втором случае, приобретаются и устанавливаются дополнительные
ТСЗИ. Применение ТСЗИ без соответствующей организационной поддержки
также неэффективно в связи с тем, что без установленных правил обработки
57
информации в АС применение любых ТСЗИ только усиливает существующий
беспорядок.
Применение дополнительных средств защиты информации затрагивает
интересы многих структурных подразделений организации. Не столько даже тех,
в которых работают конечные пользователи автоматизированной системы,
сколько подразделений, отвечающих за разработку, внедрение и сопровождение
прикладных задач, за обслуживание и эксплуатацию средств вычислительной
техники. Поэтому разрабатываемая технология обеспечения информационной
безопасности должна обеспечивать [18]:
дифференцированный подход к защите различных АРМ и подсистем
(уровень защищенности должен определяться с позиций разумной достаточности
с учетом важности обрабатываемой информации и решаемых задач);
унификацию вариантов применения средств защиты информации на
АРМ с одинаковыми требованиями к защите;
реализацию разрешительной системы доступа к ресурсам АС;
минимизацию, формализацию (в идеале автоматизацию), реальную
выполнимость рутинных операций и согласованность действий различных
подразделений по реализации требований разработанных положений и
инструкций, не создавая больших неудобств при решении сотрудниками своих
основных задач;
учет динамики развития автоматизированной системы,
регламентацию не только стационарного процесса эксплуатации защищенных
подсистем, но и процессов их модернизации, связанных с многочисленными
изменениями аппаратно-программной конфигурации АРМ;
минимизацию необходимого числа специалистов отдела защиты
информации.
Надо совершенно четко понимать, что соблюдение необходимых
требований по защите информации, препятствующих осуществлению
несанкционированных изменений в системе, неизбежно приводит к усложнению
процедуры правомочной модификации АС. В этом состоит одно из наиболее
остро проявляющихся противоречий между обеспечением безопасности и
развитием и совершенствованием автоматизированной системы. Технология
58
обеспечения информационной безопасности должна предусматривать особые
случаи экстренного внесения изменений в программно-аппаратные средства
защищаемой АС.
В качестве организационных мероприятий были выбраны:
1. Внесение изменений в политику безопасности (Приложение 1).
2. Создание Положения реагирования на инциденты (Приложение 2).
Осуществления перечисленных организационных мероприятий в
организации осуществляется согласно приказу руководителя организации.
2.2. Комплекс внедряемых (разрабатываемых) программно-аппаратных
средств обеспечения информационной безопасности
2.2.1. Основные сведения о внедряемых программно-аппаратных средствах
обеспечения информационной безопасности
Слабым звеном в обеспечении информационной безопасности организации
является отсутствие систем контроля и управления доступом. Системы контроля
и управления доступом (СКУД) представляют собой совокупность программно-
аппаратных технических средств безопасности, имеющих целью ограничение и
регистрацию входа-выхода объектов (людей, транспорта) на заданной территории
через «точки прохода»: двери, ворота, КПП.
Для того, чтобы обеспечить контроль и управление доступом к
информационным активам организации была выбрана СКУД «SIGUR».
Программно-аппаратный комплекс «SIGUR» предназначен для обеспечения
контроля доступа в административных зданиях и бизнес-центрах.
К основным особенностям системы относятся:
гибкая масштабируемость системы
неограниченное количество рабочих мест для арендаторов, а также
оборудование АРМ службы охраны, бюро пропусков и прочих
автоматизация процессов выдачи и сбора пропусков посетителей.
Основные функции системы включают в себя:
59
управление доступом (в том числе на прилегающей парковке):
разграничение прав доступа по времени, точкам и объектам прохода;
разграничение прав пользователей при организации рабочих мест:
возможность задания определенного набора доступных операций, которые
пользователь может выполнять в рамках системы (например, только просмотр
отчетов);
наблюдение в режиме реального времени за событиями,
происходящими в системе: фото и видеоидентификация (вывод на экран
наблюдения изображения проходящих сотрудников);
расположение камер видеонаблюдения, точек и зон доступа на
графических планах для наглядного наблюдения и управления системой;
учет рабочего времени сотрудников, назначение рабочих графиков;
автоматизация процесса выдачи гостевых пропусков;
получение различных отчетов и их выгрузка в формате xls (MS
Excel).
Дополнительные возможности СКУД включают в себя:
интеграцию с «1С:Предприятие» 8.2, которая позволяет
осуществлять автоматизированную выгрузку табеля учета использования
рабочего времени (форма Т-13);
автоматическое сканирование и распознавание документов при
выдаче временного пропуска посетителю;
интеграцию с рядом систем видеонаблюдения, совмещение архивов
систем контроля доступа и видеонаблюдения, построение единого рабочего места
наблюдения за оперативной ситуацией;
интеграцию с пожарно-охранной сигнализацией;
возможность интеграции с другими системами (в том числе уже
присутствующими на объекте).
Рассмотрим алгоритм работы СКУД «SIGUR»:
1. Лицо, ответственное за обеспечение контроля доступа осуществляет
ввод в систему всех объектов, к которым необходимо разграничить доступ.
2. Затем осуществляется ввод параметров доступа:
60
время разрешения доступа к объекту (дни недели, время работы);
список лиц, которым разрешен доступ к объекту;
выбор перечня действий, которые возможно осуществить с
объектом.
3. Пользователь осуществляет доступ к объекту.
4. СКУД проверяет возможность доступа.
5. В зависимости от настроек системы пользователю разрешается, либо
запрещается доступ к системе.
6. Действия пользователя протоколируются в СКУД.
В рамках внедрения системы контроля и управления доступом необходима
установка камер видеонаблюдения, которые позволят осуществить контроль
несанкционированного доступа в режиме реального времени.
Программное обеспечение может управлять любыми устройствами
видеонаблюдения, подключенными к нему с помощью каналов связи. Существует
два вида устройств видеонаблюдения:
1. Аналоговые.
2. Цифровые.
Аналоговые системы видеонаблюдения передают изображение с частотой
25 кадров в минуту. Они подходят для небольших систем видеонаблюдения.
Аналоговые системы видеонаблюдения имеют простую конструкцию и низкую
стоимость. Однако, существуют и такие камеры, которые могут преобразовывать
аналоговый сигнал в цифровой.
Цифровые системы видеонаблюдения с большей степенью эффективности
осуществляют передачу данных, чем аналоговые системы, для которых
характерна потеря качества при передаче на большие расстояния. В то время как
цифровые системы позволяют сохранить качество изображения постоянным.
В цифровых системах видеонаблюдения присутствуют видеорегистраторы,
которые используют для записи жесткий диск компьютера. Сигнал, полученный
с камеры видеорегистратора, транслируется по локальной или глобальной сети на
любом мониторе. Благодаря специальному оборудованию цифровая система
может самостоятельно подавать сигнал в том случае, если на объекте обнаружено
движение. Таким образом, цифровая система видеонаблюдения позволяет
61
значительно снизить количество охраны на объекте и заменить персонал
дополнительными камерами.
Цифровые технологии позволяют изготовить технику небольшого размера,
благодаря которой появились системы скрытого видеонаблюдения. Такое
оборудование широко применяется не только в крупных организациях, но и для
установления наблюдения за конкретным человеком. Еще один плюс в работе IP-
систем заключается в централизованном управлении с центрального компьютера.
Принимая во внимание перечисленные преимущества, для установки
системы видеонаблюдения в ООО «Меркурий логистик» выбраны цифровые
системы видеонаблюдения.
При выборе модели камеры видеонаблюдения необходимо учитывать
следующие требования:
1. Разрешающая способность.
2. Качество изображения.
Сейчас на рынке широко представлены системы с разрешением более 1080р
(2,1МР). Эти камеры обладают широкоформатным отношением сторон матрицы
- 16:9 и позволяют добиться более четкой картинки.
Однако большое количество пикселов не является гарантией наилучшего
качества изображения. Действительно, при возрастании разрешающей
способности увеличивается риск работы в широком динамическом диапазоне и
при низкой освещенности.
Учитывая перечисленные параметры, из представленных на рынке моделей
была выбрана купольная камера «ORIENT DP-955-Y7V». Характеристики камеры
представлены в таблице 9.
Стоимость одной камеры составляет 2 850 рублей. Всего планируется
разместить 10 камер. Затем необходимо приобрести оборудование агрегации.
Наиболее оптимальным решением для выбранных камер является коммутатор
SNR-S2940-8G-PoE стоимостью 11 928 рублей. Итого на средства инженерно-
технической защиты необходимо потратить 40 428 рублей. Спецификация
коммутатора представлена в таблице 10.
62
Таблица 9
Характеристики камеры видеонаблюдения
Характеристика
Значение
Тип
купольная камера
Количество поддерживаемых камер
1
Количество камер в комплекте
1
Размещение камер
в помещении, на улице
Тип съемки
Цветной
Характеристика
Значение
Режим съемки
Авто
Матрица
1/4" CMOS
Разрешение
700 ТВЛ
Дальность ИК подсветки
30 м
Количество ИК диодов
36
Фокусное расстояние
2.8 мм - 12 мм
Рабочая температура
от -20°С до +50°С
Рабочая влажность
стандарт защиты IP66
Питание
DC 12В 500мА
Дополнительно
OSD-джойстик
Габариты
120 мм × 120 мм × 85 мм
Вес
0.5 кг
Таблица 10
Спецификация коммутатора SNR-S2940-8G-PoE
Технические спецификации
S2940-8G-PoE
Основные
Интерфейсы
8 10/100BASE-TX PoE
1 Combo 100/1000BASE-T/SFP
Консольный порт
RJ-45
Производительность
Коммутационная
матрица
3.6 Gbps
Размер буфера пакетов
384 KB
Скорость пересылки
пакетов
2.7 Mpps
Flash-память
8 MB
PoE
Стандарты
IEEE 802.3af PoE
Бюджет мощности
130 Ватт
MTBF
>80,000 часов
63
Продолжение Таблицы 10
Физические
параметры
Тепловыделение
477.4 BTU/h
Входное напряжение
100~240 VAC, 50/60 Hz
Максимальная
потребляемая мощность
140 Ватт
Размеры (Ш х Г х В)
443 х 230 х 44 мм
Вес
2.5 кг
Система охлаждения
Активная
Рабочая температура
0 ~ 50 °C
Температура хранения
-40 ~ 70 °C
Рабочая влажность
5% ~ 95%
Электромагнитная
безопасность
FCC Class A, CE Class A, VCCI
Class A, IC C-Tick
Безопасность
CB, cUL, LVD
Сторонние сертификации
IPv6 Ready Logo Phase 2
Спецификации программного обеспечения
Стекирование
- 802.3x Flow Control
802.3ad Link Aggregation:
Предотвращение
блокировки HOL
- Максимум 14 групп на
устройство
Таблица MAC-адресов:
8К
- Root-Guard
Контроль потока:
Loopback Detection
Виртуальное стекирование - до 24 устройств в кластере
управления
L2 Функционал
Поддержка Jumbo-
фреймов до 2048 байт
- Максимум 8 портов в группе
Протоколы Spanning Tree:
Зеркалирование портов:
- 802.1D STP
- 1:1
- 802.1w RSTP
- N:1
- BPDU-Guard
Протоколы защиты кольцевых
топологий - MRPP, EAPS,
ERRP
L2 Multicast
IGMP Snooping
Multicast VLAN Registration
- IGMP v1/v2/v3 Snooping
Multicast Source/Destination
IGMP Snooping Querier
MLD Snooping
- IGMP Snooping Immedia
IGMP RADIUS Authentication
VLAN
Максимум 4K VLAN
Port-Based VLAN
GVRP
Multicast VLAN
Максимум 255
динамических VLAN
Private VLAN
64
Продолжение таблицы 10
Quality of Service
802.1q Tagged VLAN
VLAN Trunking
802.1p
MAC адреса
4 очереди на порт
IPv4 адреса
Управление очередями
DSCP
Strict Priority
TCP/UDP порта
Weighted Round Robin
(WRR)
IPv6 адреса
CoS на основе
IPv6 Traffic Class
802.1p Priority Queue
на основе порта
(входящий/исходящий,
с шагом 64 Kbps
Access Control List
ACL на основе
Протокола
IPv4 адреса
TCP/UDP порта
IPv6 адреса
Содержимого пакета
(Packet Content Filtering)
MAC адреса
ACL с привязкой ко
времени
Безопасность
DHCP Server
ARP-Guard
DHCP Relay
Anti-ARP-Scan
DHCPv6 Snooping
IP Source Guard
Port Security
DHCPv6 Server
Broadcast/Multicast/Unicast
Storm Control
DHCPv6 Relay
DHCP Snooping
AM (IP-MAC-Port
Binding)
AAA
802.1x
Auto VLAN
Port-Based Access Control
RADIUS и TACACS
авторизация
MAC-Based Access
Control
RADIUS Accounting
Guest VLAN
IGMP RADIUS
Authentication
OAM
Диагностика кабельной
линии
Поддержка 802.3ah
Ethernet Link OAM
Управление
Web-Interface
Flash File System
Command Line Interface
(CLI)
SNTP
Telnet Server
Password Recovery
Telnet Client
Password Encryption
SSH Server
Security IP
TFTP Server
Sflow v4/v5
TFTP Client
IPv6 SNMP
FTP Client
IPv6 Telnet
SNMP v1/v2/v3
IPv6 RADIUS+
SNMP Traps
IPv6 Syslog
65
Продолжение таблицы 10
Управление
System Log
IPv6 SNTP
RMON 1,2,3,9
IPv6 FTP/TFTP
LLDP
IPv6 Ping
BootP/DHCP Client
IPv6 Traceroute
DHCP Option 82
ICMPv6
CPU Monitoring
PPPoE Intermediate
Agent (Circuit-ID Tag
Insertion)
В результате запланированных действий программная и техническая
архитектура организации претерпят изменения. Техническая архитектура
организации приобретет вид, представленные на рисунке 7. Схема обновленной
программной архитектуры представлена на рисунке 8.
Система
видеонаблюдения
Оборудование
агрегации
ПК сотрудников компании
Сервер компании
Маршрутизатор
Интернет
МФУ
Рисунок 7. Техническая архитектура компании