27
Для повышения производительности труда все компьютеры объединены в
локальную вычислительную сеть (ЛВС). Для обеспечения сохранности данных
ЛВС поделена на независимые сегменты при помощи технологии VLAN.
Результаты оценки действующей системы безопасности информации
внесем в таблицу 1.11.
Таблица 1.7
Анализ выполнения основных задач по обеспечению информационной
безопасности
Основные задачи по обеспечению
информационной безопасности
Степень выполнения
Обеспечение безопасности, защита информации
и сведений о субъектах ПДн;
Выполнена частично. Для
ограничения доступа установлены
только камеры для наблюдения.
Организация работы по правовой и технической
(физической, информационной, аппаратной и
программной) защите ПДн;
Организационная защита выполнена
наполовину. Имеющиеся средства
программной защиты – антивирусное
ПО
Предотвращение несанкционированного
допуска к сведениям и работам, ПДн;
Выполнена частично.
Выявление и устранение возможных каналов
утечки информации содержащих информацию
субъектов ПДн, в процессе медицинской и
сервисной деятельности и в критических (форс-
мажор) ситуациях;
Выполнена частично
Обеспечение режима безопасности при
различных совещаниях, семинаров, заседаний и
других мероприятий
Не выполнено.
Обеспечение охраны территории, зданий
помещений, с защищаемой информацией.
Выполнена плохо. Для компании
недостаточно одной камеры
видеонаблюдения
По результатам анализа видно, что защита информации содержащей
сведения субъектов ПДн выполнена частично.
28
1.2.5. Оценка рисков
Задача анализа риска строится на определении и оценке рисков, которым
может подвергнутся ИТ-система и ее активы и определении и выбора логически
необходимых, обоснованных средств обеспечения ИБ. При оценке рисков
рассматривают несколько различных его аспектов, включая возможные
последствия инцидента и его вероятность.
Для оценки уязвимостей будем использовать матрицу
с заранее
определенными значениями [4].
Таблица 1.8
Определение степени уязвимости
Ценность
актива
Степень уязвимости
Низкая
Средняя
Высокая
Н С В
0 1 2 Н С В Н С В
0 1 2 3 1 2 3 2 3 4
1 2 3 4 2 3 4 3 4 5
2 3 4 5 3 4 5 4 5 6
3 4 5 6 4 5 6 5 6 7
4 4 5 6 5 6 7 6 7 8
29
Результаты оценки уязвимостей приведены в таблице 1.9.
Таблица 1.9
Результаты оценки уязвимостей информационных активов организации
Риск Актив
Ранг
риска
Превышение допустимой нагрузки
База данных
5
Сети интернет и внутренние сети
фирмы
5
Персональные данные 5
Серверы
Компьютеры. 5
Сбои и отказы программных средств База данных
4
Сети интернет и внутренние сети
фирмы
4
Персональные данные
Серверы 4
Недобросовестное исполнение
обязанностей
База данных
Персональные данные 3
Серверы 3
Выполнение вредоносных программ
База данных 3
Серверы 3
Компьютеры 3
Использование информационных
активов не по назначению
База данных 3
Сети интернет и внутренние сети
фирмы
3
Персональные данные 3
Компьютеры 3
Нарушения персоналом
организационных мер по обеспечению
ИБ
База данных 3
Персональные данные 3
Серверы рабочей информации 3
Компьютеры 3
Действия неавторизованного субъекта
База данных 3
Компьютеры 3
Серверы 3
Неконтролируемая модификация
информационного актива
Сети интернет и внутренние сети
фирмы
3
База данных 2
Персональные данные 2
Несанкционированный логический
доступ
Сети интернет и внутренние сети
фирмы
2
База данных 2
Серверы рабочей информации 1
30
1.3. Характеристика комплекса задач и обоснование необходимости
совершенствования системы обеспечения ИБ в НККДЦ
1.3.1. Выработка комплекса задач для обеспечения ИБ в НККДЦ
На основе анализа рисков информационных активов компании
необходимо рассмотреть следующие задачи по совершенствованию
информационной безопасности:
1) Обеспечить полное резервное копирование информационных
активов. Хранение резервных копий вне офиса на случай
катастрофы, изъятия
оборудования.
2) Обеспечить контроль записи файлов на внешние носители
информации на всех рабочих станциях.
3) Обеспечить защиты учётных записей пользователей компании от
перебора паролей.
4) Разграничить доступ к файловым ресурсам подразделений
компании.
5) Ограничить доступ пользователей к опубликованным в сети
Интернет сервисам – терминальный доступ, электронная почта.
6) Ограничить доступ в ЛВС
личных устройств пользователей или
иных лиц.
К основным требованиям обеспечения ИБ информационных активов
компании относятся:
требования по обеспечению ИБ при назначении и распределении ролей
лиц, в том числе связанных с осуществлением переводов денежных
средств;
требования по обеспечению ИБ при осуществлении доступа к информации;
требования по обеспечению ИБ при
использовании сети Интернет;
требования по обеспечению ИБ с использованием технологических мер
защиты информации (в том числе банковских платёжных и
информационных технологических процессов);
требования по повышению осведомлённости в области обеспечения защиты
информации;
31
требования по определению и реализации порядка обеспечения защиты
информации при осуществлении переводов денежных средств;
требования по оценке выполнения требований по обеспечению защиты
информации [15].
Основными мерами по обеспечению ИБ являются:
административно-правовые и организационные меры;
технические, основанные на использовании аппаратно-программных и
специальных СЗИ;
режимные [6].
Таким образом
, в дипломном проекте будут решены следующие задачи:
проанализированы основные понятия и законодательные базы в сфере
безопасности информации и персональных данных;
проанализированы информационные ресурсы, которые участвуют в
обработке информации в компании;
выявлены основные уязвимые места, а также возможные угрозы
безопасности информационной системы компании;
разработана система защиты персональных
данных.
1.3.2. Определение места проектируемого комплекса задач в
комплексе задач предприятия, детализация задач ИБ в НККДЦ
С целью повышения уровня защищённости персональных данных
предполагается в ходе дипломного проектирования внедрить в компанию
систему защиты персональных данных.
Для реализации поставленной цели необходимо осуществить разрешение
следующих задач, которые относятся к общему комплексу задач
по обеспечению
информационной безопасности:
1) Обеспечение контроля доступом сотрудников и пациентов на
территорию медицинского центра.
2) Обеспечение контроля доступом сотрудников и пациентов в ряд
конфиденциальных помещений
32
3) Организация автоматического составления и ведения баз данных
доступа с фиксацией прихода/ухода сотрудников в пределах офиса компании.
4) Разработка регламента доступа к файловым ресурсам отделов,
определение владельцев и схемы предоставления доступа. Необходимо строго
разграничить доступ к особо ценным и конфиденциальным данным. Определить
сетевые ресурсы и назначить ответственных лиц за эти ресурсы
, разработать
процедуру согласования и предоставления доступа. Ответственные за
выполнение задачи – сотрудники департамента информационных технологий.
Определить ресурсы и правила предоставление доступа на собрании
руководителей подразделений компании.
5) Разработка регламента удалённого доступа пользователей к
информационным ресурсам компании. Определения списка пользователей,
имеющих удалённый доступ к электронной почте и терминальному серверу.
Ответственные за выполнение задачи
– сотрудники департамента
информационных технологий. Определить список пользователей на собрании
руководителей подразделений компании.
Место решаемых задач в общем комплексе – необходимо определить
допущенных к защищаемой информации лиц, разработать план организации
предоставления доступа, а также лиц согласующих доступ, разработать план
контроля доступа.
1.4. Выбор защитных мер
Защитные меры для физической безопасности включают
в себя анализ
ударостойкости стен здания, использование СКУД для доступа в помещения и
само здание, систем пожарной и охраной сигнализации. Обеспечение
безопасности персонала включает в себя проверку лиц при приеме на работу
(особенно лиц, нанимающихся на важные с точки зрения владения критичной
для ИБ информацией должности), контроль за работой персонала
и реализацию
программ по защите информации и понимания мер защиты.
33
1.4.1. Выбор организационных мер
Для реализации дискреционного принципа контроля доступа к ИСПДн
должен контролироваться доступ идентифицированных субъектов
(пользователей) к идентифицированных объектам (например, файлам,
программам, томам).
Для любой «субъект-объект» пары в СВТ должно быть задано явное и
конкретно указанное перечисление допустимых типов доступа (например,
читать, записывать), т.е. тех типов
доступа, которые являются
санкционированными для данного субъекта (единичного сотрудника, либо
определенной группы пользователей с однотипными задачами или отдела в
целом) к данному ресурсу СВТ.
Контроль доступа должен быть применим к каждому объекту ИБ и
каждому сотруднику или группе равноправных пользователей.
Механизм, реализующий дискреционный принцип контроля доступа,
должен предусматривать санкционированное и документированное изменение
правил разграничения доступа (ПРД), в том числе санкционированное
изменение списка пользователей СВТ и списка защищаемых активов.
Необходимо так же вести учёт документов на изменение правил
разграничение доступа для того, чтобы была возможность быстро определить
причины выявленного несанкционированного намеренных, либо не
преднамеренных действий субъекта на объект, приведших к его дискредитации
и их устранение.
Право изменять правил разграничения доступа, должно быть
предоставлено выделенным субъектам (например, администрации, службам
безопасности (как информационной, так и физической). Должны быть
предусмотрены средства управления – введен регламент изменения прав
пользователей.
34
Комплекс средств защиты должен содержать механизм, претворяющий в
жизнь дискретизационные ПРД, как для явных действий пользователя, так и для
скрытых. Под "явными" здесь подразумеваются действия, осуществляемые с
использованием аппаратных, программных или других технических средств, а
под "скрытыми" — иные действия, в том числе с использованием собственных
программ работы с устройствами, например, самовольным
использованием
сотрудником нерегламентированных устройств на рабочем месте.
Политика дискреционного доступа охватывает большое число моделей
разграничения доступа, реализованных в большинстве защищенных КС, и
является первой, проработанной и реализованной на практике. Мандатная
политика в данном случае не подойдет, так как врачам НККДЦ, в силу
специфики работы, иногда необходимо управлять доступом к созданным
ими
документам, что мандатная политика не предусматривает.
Модели дискреционного доступа основываются и развивают субъектно-
объектную модель доступа к сетевым активам, как совокупность некоторых
множеств взаимодействующих элементов (субъектов, объектов и т. д.). Область
безопасных доступов в моделях дискреционного доступа описан дискретным
набором "Пользователь -поток (действие)-объект".
Конкретные модели специфицируют способ представления области
безопасного доступа и механизм проверки соответствия запроса субъекта на
доступ области безопасного доступа. Если запрос не выходит за пределы данной
области, то он разрешается и выполняется. При этом все сводится к
определению, что осуществление такого доступа переводит систему в
безопасное состояние.
Специфика и значение моделей заключается в том, что, исходя
из способа
описания области безопасного доступа и механизма разрешений на доступ
анализируется и доказывается, что за конечное число переходов система
останется в безопасном состоянии.
Для АС мед. учреждений, подобных НККДЦ, характерна дискреционная
модель разграничения доступа, соответственно необходимо разработать
дискреционный принцип разграничения доступа для автоматизированных
систем.
Ресурсы, которые необходимо защитить, располагаются на
серверах
организации. Соответственно, необходимо разработать и внедрить структуры
35
каталогов, в которых ресурсы будут располагаться в более удобном для КСЗ
порядке. Все ресурсы должны быть четко разделены по отдельным каталогам, к
которым имеют доступ определенные за ранее пользователи. Обычно структура
каталогов повторяет организационную структуру предприятия – отделы,
специфика совместной работы групп пользователей вне общих направлений
отделов, что упрощает процесс построения модели
. На рис. 1.4 изображена
структура каталогов, расположенных на файловом сервере.
Рис. 1.4. Структура каталогов на сервере
Для удобства администрирования сотрудники медицинского центра
разбиты на группы. Группы назначены пользователям согласно занимаемым ими
должностям и обязанностям. На рисунке 1.5 представлена пример структуры
должностей НККДЦ. Каждая из должностей имеет свои права на доступ к
ресурсам и свое множество ресурсов (каталогов) на которые распространяются
соответствующие им
категории прав. Таким образом, разграничение доступа
должно проводиться с учетом возможностей на выполнение тех или иных
операций с ресурсами в ИСПДн для каждой должности и пользователя АС
(сотрудника), имеющего данную должность.
Рис. 1.5. Структура должностей медицинского центра
36
В медицинском центре НККДЦ действует политика безопасности,
построенная на избирательном способе управления доступом. Такое управление
в медицинском центре НККДЦ использует заданное системным
администратором множество разрешенных возможностей доступа. Матрица
доступа заполняется непосредственно системным администратором НККДЦ, в
соответствии с требованиями руководства учреждения. Применение
избирательной политики ИБ соответствует требованиям руководства и
требований по ИБ и разграничению доступа, подотчетности, а также имеет
приемлемую и разумную для организации стоимость. Реализацию политики
информационной безопасности полностью возложено на системного
администратора НККДЦ.
Для медицинского центра НККДЦ под административной безопасностью
будут внедрены защищенные способы ведения документации, наличие методов
разработки и применения программ для медицинской деятельности центра, а
также процедур обработки инцидентов в случаях нарушения ИБ.
Существующие стратегии стратегии обеспечения информационной
безопасности, представленные в табл. 1.10.
Таблица 1.10
Существующие стратегии стратегии обеспечения информационной
безопасности
Учитываемые
уязвимости
Влияние на информационные системы
отсутствует частичное существенное
Наиболее опасные Оборонительная
стратегия
Все
идентифицированные
уязвимости
Наступательная
стратегия
Все потенциально
возможные
Упреждающая
стратегия
Учитывая тот факт, что в настоящее время для устранения уязвимостей в
информационной безопасности будут рассматриваться в дипломном проекте
наиболее опасные из них, в качестве стратегии ИБ выберем «оборонительную»
стратегию. Под которой будем понимать защиту от наиболее вероятных и
опасных угроз путем создания «защитной оболочки», включающей разработку
организационных и программно-технических
мер для информационной системы
в целом, так и для ее отдельных компонентов.