Анализ нормативно-правовой базы, обоснование направлений создания обеспечения комплексной защиты информации в автоматизированных системах. Разработка методики оценки, выбор путей повышения эффективности защитных мероприятий в автоматизированных системах.
Аннотация к работе
Под информационной безопасностью понимают защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры. Существующие сегодня подходы к обеспечению защиты информации несколько отличаются от существовавших на начальном этапе. Защита должна носить системный характер, то есть для получения наилучших результатов все разрозненные виды защиты информации должны быть объединены в одно целое и функционировать в составе единой системы, представляющей собой слаженный механизм взаимодействующих элементов, предназначенных для выполнения задач по обеспечению безопасности информации. Более того, КСЗИ предназначена обеспечивать, с одной стороны, функционирование надежных механизмов защиты, а с другой - управление механизмами защиты информации. Для достижения поставленной цели, в ходе выполнения работы решались следующие задачи: анализ нормативно-правовой базы обеспечения защиты информации в АС, а также проектирования защищенных АС;Бурный рост конфиденциальной и коммерческой информации, а также существенное увеличение фактов ее хищения вызывает повышенный интерес все большего числа организаций к созданию собственных защищенных информационных систем.Согласно одному из таких стандартов [7] АС представляет собой систему, состоящую из персонала и комплекса средств автоматизации его деятельности, реализующую информационную технологию выполнения установленных функций. Закон Украины «Об информации» [1] трактует понятие «информация» в следующем виде: «под информацией понимается документируемые или публично объявленные сведения о событиях и явлениях, которые происходят в обществе, государстве и окружающей среде». В свою очередь, защита информации в АС - деятельность, которая направлена на обеспечение безопасности обрабатываемой в АС информации и АС в целом, и позволяет предотвратить или осложнить возможность реализации угроз, а также снизить величину потенциальных убытков в результате реализации угроз [2]. Выделение отдельных модулей АИС позволяет службе защиты информации: - своевременно и адекватно реагировать на определенные виды угроз информации, которые свойственны определенному модулю; упростить процедуру контроля системы защиты информации в целом (под системой защиты информационной инфраструктуры предприятия в целом следует понимать совокупность модулей систем защиты информации).Нормативным документом [4] предполагается деление АС на 3 класса: Класс 1 - одномашинный однопользовательский комплекс, который обрабатывает информацию одной или нескольких категорий конфиденциальности. Информация с ограниченным доступом, а именно: конфиденциальная информация, принадлежащая государству, и информация, содержащая государственную тайну, создается, обрабатывается и хранится в режимно-секретном (РСО) органе. Такая информация, в большинстве случаев, обрабатывается с использованием АС класса 1,которые имеют следующие особенности: - в каждый момент времени с комплексом может работать только один пользователь, хотя в общем случае лиц, которые имеют доступ к комплексу, может быть несколько, но все должны иметь одинаковые полномочия (права) относительно доступа к обрабатываемой информации; технические средства (носители информации и средства ввода / вывода), с точки зрения, защищенности относятся к одной категории и все они могут использоваться для хранения и/ или ввода/ вывода всей информации. Защита от несанкционированного доступа к информации осуществляется специальными программными или аппаратно-программными средствами защиты от несанкционированного доступа.Как и КСЗИ, СИБ объединяет в себе комплекс организационных мероприятий и технических средств защиты информации. Первое отличие заключается в том, что при построении СИБ нет необходимости выполнять требования нормативных документов в сфере технической защиты информации, так как основными потребителями СИБ являются коммерческие организации, которые не обрабатывают информацию, принадлежащую государству. СИБ можно рекомендовать коммерческим организациям, которые заботятся о сохранности своей коммерческой (критичной) информации или собираются принимать меры по обеспечению безопасности своих информационных активов. В дальнейшем, при проектировании системы защиты будем брать за основу АС класса 1 и 2, так как именно эти системы обработки информации представляют наиболее огромный интерес у злоумышленника с точки зрения ее хищения. Обрабатываемая информация Конфиденциальная информация, которая принадлежит государству, или информация, которая содержит государственную тайну Конфиденциальная информация, которая принадлежит государству (физическому лицу), или открытая информация, которая принадлежит государству Критическая информация организации (персональная, финансовая, договорная информация, информация о заказчиках)Создание КСЗИ в ИТС осуществляется в соответстви
План
Содержание
РЕФЕРАТ
ПЕРЕЧЕНЬ СОКРАЩЕНИЙ
ВВЕДЕНИЕ
1. АНАЛИЗ НОРМАТИВНО-ПРАВОВОЙ БАЗЫ ОБЕСПЕЧЕНИЯ КОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ
1.1 Общие понятия и определения в области проектирования защищенных автоматизированных систем
1.2 Классификация автоматизированных систем
1.2.1 Особенности АС класса 1
1.2.2 Особенности АС класса 2 и 3
1.2.3 Системы информационной безопасности
1.3 Порядок создания комплексной системы защиты информации
1.3.1 Анализ структуры автоматизированной информационной системы
1.3.2 Определение технического решения
1.3.3 Реализация и эксплуатация КСЗИ
Выводы по разделу 1
2. ОБОСНОВАНИЕ НАПРАВЛЕНИЙ СОЗДАНИЯ КОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ
2.1 Оценка необходимости защиты информации от НСД
2.2 Требования к защите информации от НСД в АС
2.2.1 Требования к защите конфиденциальной информации
2.2.2 Требования к защите секретной информации
2.3 Основные принципы защитных мероприятий от НСД в АС
2.4 Математический анализ эффективности защитных мероприятий
Выводы по разделу 2
3. РАЗРАБОТКА МЕТОДИКИ ОЦЕНКИ ЭФФЕКТИВНОСТИ ЗАЩИТНЫХ МЕРОПРИЯТИЙ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ
3.1 Общие принципы оценки эффективности защитных мероприятий
3.2 Подход к оценке эффективности защитных мероприятий
Выводы по разделу 3
4. ВЫБОР ПУТЕЙ ПОВЫШЕНИЯ ЭФФЕКТИВНОСТИ ЗАЩИТНЫХ МЕРОПРИЯТИЙ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ
4.1 Выбор контролируемых параметров по максимальным значениям (с учетом защиты канала)
4.2 Выбор контролируемых параметров по заданному коэффициенту готовности
4.3 Выбор контролируемых параметров по максимальному значению вероятности безотказной работы после проведения диагностики
4.4 Оценка оптимального времени между проведением функциональных проверок информационного канала
Выводы по разделу 4
5. РАЗРАБОТКА РЕКОМЕНДАЦИЙ ПО ИСПОЛЬЗОВАНИЮ УСТРОЙСТВ, МЕТОДОВ И МЕРОПРИЯТИЙ ПО ЗАЩИТЕ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ
5.1 Организационные мероприятия
5.1.1 Рекомендации по категорированию информации в информационной системе предприятия
5.1.2 Рекомендации по категорированию пользователей информационной системы предприятия
5.2 Инженерно-технические мероприятия
5.2.1 Рекомендации по устранению несанкционированного использования диктофона
5.2.2 Рекомендации по защите информации постановкой помех
5.3 Рекомендации по защите информации, обрабатываемой в автоматизированных системах
Выводы по разделу 5
ОХРАНА ТРУДА
Методы защиты от электромагнитных полей
Электробезопасность
ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ
ВЫВОДЫ И РЕКОМЕНДАЦИИ
СПИСОК ИСТОЧНИКОВ
ПРИЛОЖЕНИЕ А. Основные инструкции и правила для пользователей и обслуживающего персонала
А.1 Инструкция пользователя по соблюдению режима информационной безопасности
А.1.1 Общие требования
А.1.2 Работа в автоматизированной информационной системе
А.2 Инструкция по безопасному уничтожению информации и оборудования
А.3 Правила парольной защиты
А.4 Правила защиты от вредоносного программного обеспечения
А.5 Правила осуществления удаленного доступа
А.6 Правила осуществления локального доступа
ПРИЛОЖЕНИЕ Б. Рекомендуемые современные средства поиска от утечки и защиты информации в помещениях
Комплекс контроля радиоэлектронной обстановки и выявления средств несанкционированного съема информации ТОР
Анализатор проводных коммуникаций LBD-50
Комплекс виброакустической защиты объектов информатизации 1-й категории БАРОН
Телефонный модуль для комплексной защиты телефонной линии от прослушивания ПРОКРУСТ-2000