Главная Коллекция "Revolution" Безопасность жизнедеятельности и охрана труда Разработка комплексной системы защиты информации администрации сельского поселения

Разработка комплексной системы защиты информации администрации сельского поселения

Аудит информационной безопасности Администрации: его цели и этапы, структура программного обеспечения, виды угроз информации. Выбор устройств оповещения, контроля и управления средствами защиты, пожарная сигнализация, защита дверных проемов и др.

Рубрика Безопасность жизнедеятельности и охрана труда
Вид дипломная работа
Язык русский
Дата добавления 13.04.2015
Размер файла 1,5 M
рефераты на заказ со скидкой

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Страница:

Размещено на http://www.allbest.ru/

МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РФ

Брянский государственный технический университет

Кафедра “Компьютерные технологии и системы”

Дипломная работа

По специальности: «Организация и технология защиты информации»

На тему: «Разработка комплексной системы защиты информации администрации сельского поселения»

Выполнил: студент группы 07 - ОЗИ, Кузнецова Е.В.

Руководитель работы доц. Рытов М.Ю.

Консультант по организационно-экономической части

к.т.н., доц. Казаков О.Д.

Консультант по безопасности и экологичности

к.т.н., доц. Зотина О.В.

Брянск 2012 г.

Аннотация

В данной дипломной работе рассмотрены вопросы, связанные с разработкой комплексной системы защиты информации администрации сельского поселения. В ходе выполнения работы был проведен анализ информационной безопасности защищаемого объекта, в результате которого выявлены состав источников и носителей информации, проведено категорирование информации, выявлены возможные каналы утечки информации. В рамках аудита информационной безопасности была проанализирована текущая деятельность администрации по вопросам защиты информации, проведена оценка информационной система организации, в которой циркулирует конфиденциальная информация; были выявлены недостатки системы защиты, способы, устранения которых представлены в работе.

В результате выполнения дипломной работы была разработана комплексная система защиты объекта, был произведен подбор технических и программно-аппаратных средств.

В работе представлены схемы, отображающие расположение предложенных в работе средств защиты.

В экономической части работы рассчитаны затраты на проектирование и эксплуатацию системы защиты. Кроме того, были рассмотрены вопросы безопасности и экологичности работы.

Annotation

This thesis addressed issues related to the development of information security management system of administration of the rural settlement are considered. During the implementation of an analysis of the information security of the protected object, which revealed the composition of sources and media, conducted categorization of information, identify possible channels of information leakage. As part of the audit of information security was analyzed ongoing activities on the protection of information, evaluated the information system of the organization, which is circulating confidential information, were identified deficiencies in the system of protection, the manner in which elimination are at work.

As a result of the thesis has developed a complex system of object, was made the selection of hardware and software and hardware.

The paper presents the scheme showing the location of the proposed work remedies.

In the economic part of the estimated costs of design and operation protection system. In addition, the issues of safety and environmental work.

Оглавление

  • Аннотация
  • Annotation
  • Введение
  • 1.Характеристика Администрации сельского поселения
    • 1.1 Краткая информация об объекте
    • 1.2 Организационная структура
    • 1.3 Сведения о помещении Администрации
  • 2. Аудит информационной безопасности Администрации
    • 2.1 Цели и этапы аудита
    • 2.2 Характеристика информационной системы Администрации
    • 2.3 Структура программного обеспечения Администрации
    • 2.4 Виды угроз информации Администрации
    • 2.5 Исходные данные для проведения классификации Администрации
      • 2.5.1 Перечень конфиденциальных сведений Администрации
    • 2.6 Эффективность существующей системы безопасности Администрации
      • 2.6.1 Организационно-правовое направление защиты
      • 2.6.2 Программно-аппаратные направление защиты
      • 2.6.3 Инженерно-технические направление защиты
    • 2.7 Защита персональных данных служащих администрации
  • 3. Определение требований к КСЗИ Администрации
    • 3.1 Требования к классу защищенности 1Д
    • 3.2 Требования к КСЗИ в области выполнения требований, регламентирующих обработку персональных данных
  • 4. Обоснование выбора средств защиты информации
    • 4.1 Средства инженерно-технической защиты
      • 4.1.1 Выбор системы защиты периметра
      • 4.1.2 Выбор устройств оповещения, контроля и управления средствами защиты
      • 4.1.3 Пожарная сигнализация
      • 4.1.4 Оборудование помещений объекта техническими средствами охранной сигнализации
      • 4.1.5 Защита оконных проемов
      • 4.1.6 Защита дверных проемов
      • 4.1.7 Системы виброакустической защиты
      • 4.2 Средства программно-аппаратной защиты
      • 4.2.1 Виртуальные частные сети
      • 4.2.2 Комплексное средство защиты информации от несанкционированного доступа "ETOKEN" КРИПТОАРМ
  • 5. Разработка организационной структуры службы безопасности объекта
    • 5.1 Функции и задачи отдела защиты информации Администрации
    • 5.2 Структура отдела защиты информации
  • 6. Экономическая часть
    • 6.1 Расчет совокупной стоимости владения усовершенствованной организационно-технической системой защиты информации
      • 6.1.1 Расчет затрат на инвестиционную часть проекта совершенствования организационно-технической системы защиты информации
      • 6.1.2 Расчет эксплуатационной стоимости владения усовершенствованной организационно-технической системой защиты информации
    • 6.2 Оценка эффективности проекта совершенствования организационно-технической системы защиты информации
      • 6.2.1 Расчет ожидаемого экономического эффекта за счет сокращения вероятности нарушения целостности информации
      • 6.2.2 Расчет среднегодового экономического эффекта
      • 6.2.3 Расчет показателей эффективности проекта
  • 7. Общая часть
    • 7.1 Характеристика условий труда при работе с ЭВМ
    • 7.2 Режим труда и отдыха
    • 7.3 Требования к помещениям для работы с ПЭВМ
      • 7.3.1 Требования к микроклимату
      • 7.3.2 Требования к уровням шума и вибрации
      • 7.3.3 Требования к освещению на рабочих местах
      • 7.3.4 Электромагнитное и ионизирующее излучения
    • 7.4 Общие требования к организации рабочих мест пользователей ПЭВМ
      • 7.4.1 Рекомендации по конструкции рабочего стола и кресла
      • 7.4.2 Рекомендации по рабочей позе оператора
    • 7.5 Требования электробезопасности при работе с ЭВМ
    • 7.6 Расчёт общего равномерного освещения методом светового потока
  • Заключение
  • Список использованной литературы и стандартов

Введение

Система обеспечения информационной безопасности страны немыслима без ее региональных и муниципальных составляющих. К основным факторам, определяющим необходимость формирования и развития муниципальных компонент системы относятся:

· повышение самостоятельности муниципальных образований Российской Федерации, переход от директивного ведомственного управления хозяйством к гражданскому государству и самоуправлению;

· интенсивная информатизация и возрастание зависимости результатов деятельности органов местного самоуправления от достоверности используемой ими информации, своевременности ее получения, надежности принятых мер по защите информации ограниченного доступа;

· создание собственных информационных ресурсов в муниципальных образованиях Российской Федерации, необходимость защиты этих ресурсов от внешних и внутренних угроз;

· снижение объемов обрабатываемой в учреждениях и организациях информации, составляющей государственную тайну, а также увеличение объемов информации, составляющей служебную, коммерческую, профессиональную, личную тайну и другие виды тайн;

· интенсивное внедрение в органах муниципальной власти региональных и глобальных информационных систем, накапливающих и передающих огромные объемы ценнейшей информации и, в то же время, уязвимых для угроз несанкционированного доступа к конфиденциальной информации, возрастание риска и опасности несанкционированных и непреднамеренных воздействий на информацию;

· рост числа преступлений в информационной сфере, включая широкое использование криминальными структурами средств негласного получения информации, рост числа компьютерных преступлений;

· повсеместное развитие электронного документооборота, включая муниципальные службы, производственные и коммерческие предприятия;

· ограниченные возможности муниципальных образований в самостоятельном обеспечении эффективной защиты информации и защиты от информации, включая отсутствие специалистов, необходимой нормативно-методической базы, сертифицированных средств и т. п..

Обеспечение информационной безопасности связано с защитой прав личности, общества, государства на поиск, получение и распространение достоверной информации любым законным способом, на неприкосновенность частной жизни, личную, семейную и государственную тайну, на сохранение и приумножение культурных и духовно-нравственных ценностей, исторических традиций и норм общественной жизни.

Целью выполнения дипломной работы является, разработка эффективной комплексной системы защиты администрации сельского поселения.

Для достижения цели работы необходимо сформулировать задачи работы. Основные задачи, решаемые при выполнении настоящей дипломной работы:

1. Проанализировать объект изучения и существующую систему защиты информации объекта;

2. Определить требования к системе защиты информации объекта;

3. Разработать систему защиты информации объекта;

4. Произвести расчет экономического эффекта от внедрения системы защиты информации.

Объектом исследования является администрация сельского поселения, на обеспечение безопасности информации в ней и направлены разработанные мероприятия.

Для решения поставленных задач и достижения основной цели дипломная работа имеет следующую структуру:

1. Во введении обосновывается актуальность темы дипломной работы, формулируются основные решаемые задачи и цель работы, и обосновывается её практическая значимость;

2. В первой главе дается характеристика деятельности администрации сельского поселения, приводится структура учреждения, а также организационная структура;

3. Во второй главе проводится аудит информационной безопасности объекта защиты, приводится описания программной и аппаратной частей информационной системы и анализ соответствия ИС требованиям по информационной безопасности;

4. В третьей главе определяются требования к КСЗИ администрации;

5. В четвертой главе представлена разработка системы защиты информации, мероприятий и методики по её реализации на защищаемом объекте;

6. В пятой главе модернизируется существующая организационная структура администрации;

7. В шестой главе приводится экономическое обоснование построения и эксплуатации системы защиты информации;

8. В седьмой главе рассматриваются вопросы, связанные с безопасностью и экологичностью проекта;

9. В заключении содержатся основные выводы и рекомендации по выполненной дипломной работе.

Система программно-аппаратной защиты, разработанная в результате выполнения дипломной работы, соответствует законодательным актам и руководящим документам, принятым в РФ. Проектные и организационные решения, программно-аппаратные средства, предложенные в дипломной работе, могут быть использованы для организации защиты информации в большинстве администраций сельских поселений.

1. Характеристика Администрации сельского поселения

1.1 Краткая информация об объекте

В качестве объекта защиты в данной работе рассматривается здание администрации муниципального образования «Синезерское сельское поселение», которое расположено на территории поселка Синезерки, ул.Школьная д.13. Это одноэтажное здание, находящееся в центре поселка.

Администрация муниципального образования «Синезерское сельское поселение» осуществляет исполнительно-распорядительные функции на территории п.Синезерки, д.Кольцовка, д.Коммуна и с/п «Синезерки». Администрация обладает правами юридического лица в соответствии с действующим законодательством Российской Федерации, имеет гербовую печать, необходимые бланки и штампы, счет в банке, имущество.

Краткая характеристика администрации приведена в таблице 1.1.

Таблица 1.1.

Полное фирменное наименование на русском языке

Администрация муниципального образования «Синезерское сельское поселение»

Сокращенное фирменное наименование на русском языке

Администрация п.Синезерки

Форма собственности

Государственная собственность

Руководитель

Швачунова Любовь Андреевна

Юридический адрес

РФ, 242110, Брянская область, Навлинский район, п.Синезерски, ул.Школьная, д.13

Администрация сельского поселения в своей деятельности руководствуется:

• Конституцией Российской Федерации;

• Федеральными законами;

• Указами, распоряжениями Президента Российской Федерации;

• Постановлениями и распоряжениями Правительства Российской Федерации;

• Уставом Брянской области;

• Областными законами и постановлениями Законодательного собрания области;

• Указами, распоряжениями Главы Администрации (Губернатора) области;

• Постановлениями и распоряжениями Администрации области;

• Уставом Администрации сельского поселения;

• Постановлениями, распоряжениями Главы Администрации сельского поселения

Свою деятельность администрация поселения осуществляет на основе принципов: широкого участия населения поселения в выработке, принятии и реализации решений, законности, самостоятельности при сочетании общегосударственных и территориальных интересов, гласности и учета общественного мнения, национальных особенностей и исторических традиций, подотчетности и подконтрольности населению, сочетания коллективности и единоначалия.

Свои функции и полномочия администрация поселения осуществляет, используя экономические, властные, воспитательные и организационные методы[1].

Основными организационными методами деятельности администрации поселения являются: планирование, принятие актов, контроль и координация.

информационный безопасность пожарный сигнализация

1.2 Организационная структура

Структура сельской администрации представлена на рис.1.1.

Рис.1.1. Структура Синезерской сельской администрации

1.3 Сведения о помещении Администрации

План-схема МО «Синезерское сельское поселение» представлена на рис.1.2.

Рис.1.2. План здания Администрации

2. Аудит информационной безопасности Администрации

2.1 Цели и этапы аудита

Информационная система (ИС) -- совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств.

Информационные технологии (ИТ) - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов.

Аудит информационной системы - это системный процесс получения и оценки объективных данных о текущем состоянии информационной системы, действиях и событиях, происходящих в ней, устанавливающий уровень их соответствия определенному критерию и предоставляющий результаты заказчику[2].

Основные цели аудита:

1. Создание документации по имеющейся инфраструктуре;

2. Проверка соответствия инфраструктуры, определённой политике;

3. Создание регламента или политики с целью оптимизации инфраструктуры;

4. Выяснение причин инцидентов, сбоев, отказов в обслуживании;

5. Установка, соответствия ИТ-инфраструктуры политике безопасности;

6. Сбор данных перед проведением крупномасштабных реорганизаций ИТ-инфраструктур, например при слиянии и разделении компаний;

7. Проверка квалификации персонала ИТ отдела.

8. Оценка оправданности затрат на ИТ, с целью их снижения.

9. После завершения проекта требуется проверить, выполнено ли проектное задание [19];

Были использованы 4 глобальных этапа Аудита:

1. Сбор информации. Сбор информации заключается в глубоком анализе всех уровней иерархии информационной системы. Проводится анализ процессов, протекающих в ИС. Составляется список политик и регламентов. Строится структура информационной системы в целом. Проводится анализ состояния оборудования, его настроек и параметров. Проводится анализ установленного программного обеспечения. Проверяется корректность всех параметров.

2. Анализ собранных данных. Проверяется оптимальность инфраструктуры в целом и её соответствие задачам предприятия. Анализируется оптимальность процессов управления ИС. Проверяется корректность настроек оборудования и программного обеспечения. Производится сверка политик с реальными параметрами программного обеспечения и оборудования.

3. Составление документации. По итогам анализа составляется подробный отчёт, который содержит описание инфраструктуры ИС в целом. Также в отчёте отдельно указываются все найденные несоответствия или противоречия.

4. Создание стратегии развития или реорганизации. Вместе с отчётом аудита, создаются рекомендации по реорганизации инфраструктуры ИС. Рекомендации по оптимизации ИС процессов, рекомендации по изменению тех или иных параметров ПО и оборудования[13].

2.2 Характеристика информационной системы Администрации

Перечень защищаемых информационных ресурсов в Администрации муниципального образования «Синезерское сельское поселение» представлен в таблице 2.1.

Таблица 2.1. Перечень защищаемых информационных ресурсов

Наименование (тип) защищаемого ресурса

Категория защищаемого ресурса

Место хранения защищаемого ресурса

1. Традиционные (бумажные) документы

1.1. Документы на столах работников

Конфиденциальная

столы работников

1.2. Документы в шкафах и сейфах

Конфиденциальная

шкафы и сейфы

1.3. Документы в папках

Конфиденциальная

шкафы

2. Электронные документы

2.1. ЖМД персональных ЭВМ

Конфиденциальная

кабинеты

2.2. ЖМД сервера с каталогами БД

Конфиденциальная

кабинет бухгалтера

Перечень пользователей допущенных к обработке информации представлен в таблице 2.2.

Таблица 2.2. Перечень пользователей, допущенных к обработке информации

Идентификатор

Ф.И.О.

Уровень полномочий

Системный администратор

Зайцев И.Я.

Администратор

Глава администрации

Швачунова Л.А.

Привилегированный пользователь

Ведущий специалист

Ляхов Е.В.

Пользователь

Специалист I категории

Королева Е.А.

Пользователь

Специалист II категории

Немцева Н.В.

Пользователь

Бухгалтер

Новикова Ж.К.

Привилегированный пользователь

Участковый

Дворников А.А.

Пользователь

Инспектор военно-учетного стола

Сачков П.М.

Пользователь

В таблице 2.3 приведена матрица доступа к защищаемым информационным ресурсам.

Таблица 2.3. Матрица доступа к защищаемым информационным ресурсам

Права по доступу к информации*

Наименование ресурса

Администратор

Привилегированный пользователь

Пользователь

ЖМД сервера

R,W,D,N,E.

R,W,N,E.

R,W,E.

ЖМД ЭВМ

R,W,D,N,E.

R,W,D,N,E.

R,W,N,E.

*R-чтение; W-запись; D-удаление; N- переименование; E-исполнение

2.3 Структура программного обеспечения Администрации

Перечень разрешенного к использованию программного обеспечения на объекте информатизации, представлен в таблице 2.4.

Таблица 2.4. Перечень разрешенного к использованию программного обеспечения

№

Наименование ПО

Серийный номер, версия

1

Операционная система

Windows XP SP3 Build

Windows Server - SP2

6002.18005.090410-1830

7.4.4251.2147

2

Программа обработки документов

MS Office 2007

64824-357-9438765-159

3

Антивирусная защита

Антивирус Касперского

12.0.0.374

4

Другие программы

4.1.

ViPNet CryptoService

6.0.2

4.2.

Программа подготовки отчетных документов для ПРФ "Spu_orb"

1.0.0.3

4.3.

ПП «СТЭК - ТРАСТ»

2.0.1

4.4

Программа «Формы статотчетности (предприятие)»

4628-346-495

4.5.

АИС «Налог»

fd7gz-esrg4-hts54-554gx

Перечень установленных средств защиты информации от несанкционированного доступа представлен в таблице 2.5.

Таблица 2.5. Перечень установленных СЗИ от НСД

№

Наименование

Номер

Изготовитель

Сертификат

1

Антивирус Касперского

12.0.0.374

ЗАО «Лаборатория Касперского»

№

6jfiw86f-5a93-4f4e-rh57fkw12xc5

до

03.09.2012

2

ViPNet CryptoService

3.2

ОАО "Инфотекс"

№

gh56d-djs-sdk39-dks

до

01.01.2014

2.4 Виды угроз информации Администрации

Угроза безопасности информации - возможность возникновения такого явления или события, следствием которого могут быть нежелательные воздействия на информацию: нарушение физической целостности, логической структуры, несанкционированная модификация информации, несанкционированное получение информации, несанкционированное размножение информации.

Основными видами угроз безопасности информации являются следующие источники угроз:

· стихийные бедствия;

· сбои и отказы оборудования;

· ошибки эксплуатации;

· преднамеренные действия нарушителей и злоумышленников[2].

Классификация видов угроз представлена на рисунке 2.1.

Размещено на http://www.allbest.ru/

Рис. 2.1. Классификация угроз

Перечень возможных угроз и средств борьбы с ними представлен в таблице 2.6.

Таблица 2.6. Возможные угрозы и средства борьбы с ними

Возможные угрозы

Средства для уменьшения количества уязвимостей и снижения степени ущерба от угроз

Основные непреднамеренные искусственные угрозы

1) заражение компьютера вирусами;

Антивирус Касперского

2) неосторожные действия, приводящие к разглашению конфиденциальной информации, или делающие ее общедоступной;

Утверждение инструкций по работе с конфиденциальной информацией

3) игнорирование организационных ограничений (установленных правил) при работе в системе;

Контроль за соблюдением правил работы с защищаемой информацией и привлечение к ответственности за ее нарушение.

4) некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом средств защиты;

Утверждение Должностной инструкции системного администратора по информационным технологиям (IT-специалист). В ней перечислены обязанности данного работника по организации информационной системы и ее безопасности.

5) неумышленное повреждение каналов связи.

Провода каналов связи проложены в коробах

Основные преднамеренные искусственные угрозы

1) отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т.п.);

Установлены источники бесперебойного питания. (позволяют сохранить данные и завершить работу ПК.)

2) несанкционированный доступ в помещения учреждения для совершения кражи или других действий в не рабочее время;

Дежурит охранник.

Рекомендуется так же установка охранно-пожарной сигнализации, с возложением на охранника обязанностей вызова милиции или пожарной службы при срабатывании сигнализации.

3) нарушение конфиденциальности при почтовой пересылке в электронном виде отчетности;

Обеспечивается программными продуктами Система «СТЭК-Траст», ViPNet [Деловая почта], которые поддерживают шифрование.

4) нарушение аппелируемости при почтовой пересылке в электронном виде отчетности.

Обеспечивается программными продуктами Система «СТЭК-Траст», ViPNet [Деловая почта]. Данные продукты поддерживают ЭЦП. Так же обеспечивают категории информационной безопасности как целостность и аутентичность.

Естественные угрозы

1) пожары.

Установлена охранно-пожарная сигнализация

Инструкция по пожарной безопасности.

2.5 Исходные данные для проведения классификации Администрации

2.5.1 Перечень конфиденциальных сведений Администрации

Информация, обращающаяся в МО «Синезерское сельское поселение», представлена как в бумажном виде, которая хранится в каждом отделе так и в электронном виде, хранящаяся на сервере, который находится у бухгалтера, а также на каждом персональном компьютере в каждого специалиста. Данная информация не является информацией ограниченного доступа, и доступ к ней в рамках своей организации в установленном порядке имеют все сотрудники администрации.

В общем виде можно выделить состав информационных ресурсов, подлежащих защите в администрации. Данные представлены в таблице 2.7.

Таблица 2.7. Состав информационных ресурсов администрации муниципального образования «Синезерское сельское поселение», подлежащих защите

№ п/п

Наименование элемента информации

Гриф конфиденциальности информации

Наименование источника информации

Местонахождение источника информации

1

Бухгалтерская отчетность

Коммерчес-кая тайна

Бухгалтерия (персонал, документы).

Бухгалтерия (бумажные и электронные носители), винчестер

2

Налоговые декларации

Налоговая тайна

Бухгалтерия

Сейф бухгалтерии, винчестер

3

Финансовая отчетность

ДСП

Бухгалтерия

Сейф бухгалтерии, винчестер

4

Персональные данные

Конфиден-циально

Персонал, документы

Сейф в кабинете Главы администрации

5

Сведения реестра по учету муниципального имущества

ДСП

Материально технические лица

Сейф в приемной

6

Сведения о порядке и состоянии служба зации защиты службной тайны в администрации поселка Синезерки

ДСП

Материально технические лица

Сейф в кабинете Главы администрации

7

Сведения о порядке и организации охраны, пропускном режиме, системе сигнализации

ДСП

Материально технические лица

Сейф в кабинете Главы администрации

8

Переписка по вопросам накопления запасов мобилизационного резерва в отдельных организациях

ДСП

Военно-учетный стол

Сейф в приемной

9

Переписка по вопросам гражданской обороны

ДСП

Военно-учетный стол

Сейф в приемной

2.6 Эффективность существующей системы безопасности Администрации

По результатам аудита информационной безопасности существующей системы безопасности предприятия было выявлено следующее:

Существующая система защиты недостаточно надёжная.

Вынос документации по разработкам не сопровождается подписанием документов о не разглашении (имеется лишь устная договорённость).

Отсутствует система управления доступом (защита от несанкционированной загрузки персонального компьютера, ограничение доступа к внутренним ресурсам).

Существующие недостатки рассмотрены в следующих категориях.

2.6.1 Организационно-правовое направление защиты

Аудит информационной безопасности объекта защиты показал, что на предприятии циркулирует большой объём информации, имеющей высокую степень важности.

В положениях о подразделениях и должностных инструкциях руководителей и работников никакой ответственности за уничтожение, искажение или утерю информации не предусмотрено, упоминания об информационной безопасности отсутствуют. Никаких инструкций и правил, регламентирующих информационную безопасность, не предусмотрено.

Среди установленных организационных мер по обращению с техническими средствами особо выделены следующие:

1) Конфиденциальные документы хранятся в сейфах.

Дополнительных мероприятий по отношению обеспечения информационной безопасности IT-специалистами, работающими на предприятии не выявлено.

С целью совершенствования защищенного документооборота дополнению подлежат существующие на данном предприятии нормативно-правовые документы:

1.Инструкция по конфиденциальному делопроизводству;

2. Положение о конфиденциальной информации предприятия;

2.6.2 Программно-аппаратные направление защиты

Программно-аппаратные средства реализованные на предприятии:

1. Использование антивирусных средств.

Программно-аппаратные меры позволят уменьшить риск таких угроз как нарушение доступности информации, и вероятность возникновения уязвимостей ошибки, сбои и отказы.

Выявлены следующие возможные меры защиты:

Использование неавторизованных USB устройств представляет угрозу локальной сети и данным.

Кроме доступа к USB портам существует спектр потенциально опасных устройств: дисководы, CD-ROM, модемные (COM) порты, WiFi и Bluetooth адаптеры.

2.6.3 Инженерно-технические направление защиты

В здании Администрации на данном этапе приняты следующие меры по защите информации:

1. Все помещения оборудованы взломостойкими сейфами по мере необходимости.

2. Существует устаревшая система пожарной сигнализации

Из вышеуказанной информации следует, что в данный момент на предприятии отсутствует комплексная система защиты информации. Меры, принимаемые для защиты информации, являются недостаточными. Информация на предприятии недостаточно защищена от угроз утери, искажения и уничтожения. Здание Администрации следует переоборудовать современными средствами охранно-пожарной безопасности. Также следует разработать систему защиты для проведения конфиденциальных совещаний.

2.7 Защита персональных данных служащих администрации

Защита персональных данных для большинства коммерческих компаний и государственных организаций является одной из наиболее актуальных проблем. Кража персональных данных является серьезной проблемой мирового масштаба, которая требует от органов государственной власти принятия конкретных мер по ее урегулированию. В январе 2007 года в России вступил в силу Федеральный закон «О персональных данных»(№ 152-ФЗ), который требует от каждой организации, обрабатывающей персональные данные своих сотрудников, клиентов и партнеров, обеспечить конфиденциальность персональной информации и принять все необходимые меры против изменения, блокирования, копирования, распространения данных и иных неправомерных действий.

Под понятие «персональные данные» попадают такие данные о человеке, как фамилия, имя, отчество, дата и место рождения, адрес, семейное, социальное и имущественное положение, образование, профессия, информация о доходах и многое другое, система защиты персональных данных нужна фактически любой организации[29].

Обязательными условиями обработки конфиденциальных сведений, гарантирующими защиту прав и законных интересов граждан, в статистических и научных целях являются:

1.Обеспечение соответствующего режима хранения и защиты полученных оператором в процессе деятельности персональных данных.

2.Обезличивание обрабатываемых персональных данных.

Должность главы администрации является избираемой, в соответствии с действующим избирательным законодательством в состав персональных данных, подлежащих обработке в целях реализации избирательных прав граждан, освещения хода, характера и содержания проходящих выборов, относит:

1)биографические данные кандидатов, включающие их фамилию, имя, отчество, дату и место рождения, а в случае необходимости гражданство, время проживания на территории РФ;

2)основное место работы или службы, занимаемая должность (в случае отсутствия основного места работы или службы - род занятий);

3)адрес места жительства;

4)образование;

5)номер и дату выдачи паспорта или документа, заменяющего паспорт гражданина, наименование и код выдавшего его органа;

6)сведения о наличии неснятой или непогашенной судимости;

7)сведения о размере и об источниках доходов кандидата и его супруга, о вкладах в банках, ценных бумагах, об обязательствах имущественного характера кандидата и его супруга.

По смыслу действующего законодательства получение согласия при их обработке не требуется в случаях опубликования информации об итогах регистрации кандидатов, биографических данных зарегистрированных кандидатов, иных сведений, поступающих в избирательные комиссии, итоги голосования по каждому зарегистрированному кандидату.

Аналогичные требования установлены в отношении персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Конфиденциальность персональных данных предполагает обязательное для соблюдения лицом, получившим доступ к персональным данным, требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания[29].

Федеральный закон №25-ФЗ от 02.03.07 «О муниципальной службе в Российской Федерации». Законом устанавливаются основы правового регулирования отношений, связанных с поступлением граждан Российской Федерации на муниципальную службу, ее прохождением и прекращением, а также с определением правового положения муниципальных служащих. В Федеральном законе учтены нормы законодательства Российской Федерации о государственной гражданской службе, отражающие взаимосвязь этого вида государственной службы и муниципальной службы, а также положения Федерального закона от 6 октября 2003г. N 131-ФЗ "Об общих принципах организации местного самоуправления в Российской Федерации". Нормы Закона предусматривают обеспечение единого статуса муниципальных служащих, их основных прав и обязанностей, ограничений и запретов, связанных с муниципальной службой [15].

При обеспечении безопасности персональных данных при их обработке, осуществляемой без использования средств автоматизации, необходимо соблюдать следующие меры:

А. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

Б. Необходимо обеспечивать раздельное хранение персональных данных, обработка которых осуществляется в различных целях.

В. При хранении материальных носителей должна обеспечиваться сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором[13].

3. Определение требований к КСЗИ Администрации

3.1 Требования к классу защищенности 1Д

Для определения требований предъявляемых к ИС воспользуемся двумя руководящими документами: «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации».

Согласно руководящему документу и данным, приведенным выше, информационная система Администрации относится к 1-й группе классов АС. Класс АС - 1Д.

Первая группа включает многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности. Не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов - 1Д, 1Г, 1В, 1Б и 1А.

Для проведения аттестации АС необходимо:

1) Привести АС организации в соответствии с требованиями, предъявляемыми к выборному классу АС.

2) Направить заявку (приложение 4) в установленном порядке в орган по аттестации.

3) Направить пакет исходной информации представленный в первых двух главах данного курсового проекта.

4) Разработать организационно-распорядительную документацию по защите конфиденциальной информации[14].

Разработаны следующие документы:

• Перечень сведений конфиденциального характера.

• Перечень лиц, допущенных к информации конфиденциального характера.

• Положение о защите конфиденциальной информации.

• Политика безопасности.

Подсистема управления доступом:

- должна осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов (осуществляется средствами ОС).

Подсистема регистрации и учета:

- должна осуществляться регистрация входа (выхода) субъектов доступа в систему, либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения АС. В параметрах регистрации указываются (осуществляется средствами ОС):

• дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;

• результат попытки входа: успешная или неуспешная - несанкционированная;

• идентификатор (код или фамилия) субъекта, предъявленный при попытке доступа;

- должен проводиться учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных журнала (учетную карточку) (осуществляется организационными мероприятиями);

- учет защищаемых носителей должен проводиться в журнале (картотеке) с регистрацией их выдачи (приема) (осуществляется организационными мероприятиями).

Подсистема обеспечения целостности:

- должна быть обеспечена целостность программных средств СЗИ от НСД, обрабатываемой информации, а также неизменность программной среды (осуществляется средствами ОС);

- должна осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая контроль доступа в помещения АС посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения АС и хранилище носителей информации, особенно в нерабочее время (осуществляется организационными и инженерно-техническими мероприятиями);

- должно проводиться периодическое тестирование функций СЗИ от НСД при изменении программной среды и персонала АС с помощью тест - программ, имитирующих попытки НСД (осуществляется организационными мероприятиями);

- должны быть в наличии средства восстановления СЗИ от НСД, предусматривающие ведение двух копий программных средств СЗИ от НСД и их периодическое обновление и контроль работоспособности (осуществляется организационными мероприятиями, а также использованием систем резервного копирования).

3.2 Требования к КСЗИ в области выполнения требований, регламентирующих обработку персональных данных

Для информационных систем 1 класса при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации:

1. Определение, документальное фиксирование и утверждение руководством организации цели обработки персональных данных.

2. Определение необходимости уведомления Уполномоченного органа по защите прав субъектов персональных данных об обработке персональных данных.

3. Для каждой цели обработки персональных данных определение, документальное фиксирование и утверждение руководством организации:

-- объема и содержания персональных данных;

-- сроков обработки, в том числе сроков хранения персональных данных;

-- необходимости получения согласия субъектов персональных данных.

4. Проведение классификации персональных данных в соответствии со степенью тяжести последствий потери свойств безопасности персональных данных для субъекта персональных данных.

Выделены следующие категории персональных данных:

-- персональные данные, отнесенные в соответствии с Федеральным законом “О персональных данных”[5] к специальным категориям персональных данных;

-- персональные данные, отнесенные в соответствии с Федеральным законом “О персональных данных”[5] к биометрическим персональным данным;

-- персональные данные, которые не могут быть отнесены к специальным категориям персональных данных, к биометрическим персональным данным, к общедоступным или обезличенным персональным данным;

-- персональные данные, отнесенные в соответствии с Федеральным законом “О персональных данных”[5] к общедоступным или обезличенным персональным данным.

5. Осуществление передачи персональных данных организацией третьему лицу с согласия субъекта персональных данных. В том случае, если организация поручает обработку персональных данных третьему лицу на основании договора, существенным условием такого договора является обязанность обеспечения третьим лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.

6. Прекращение обработки персональных данных и уничтожение собранных персональных данных, если иное не установлено законодательством РФ, в следующих случаях и в сроки, установленные законодательством РФ:

-- по достижении целей обработки или при утрате необходимости в их достижении;

-- по требованию субъекта персональных данных или Уполномоченного органа по защите прав субъектов персональных данных

-- если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

-- при отзыве субъектом персональных данных согласия на обработку своих персональных данных, если такое согласие требуется в соответствии с законодательством РФ;

-- при невозможности устранения оператором допущенных нарушений при обработке персональных данных.

Определение и документальное фиксирование порядка уничтожения персональных данных (в том числе и материальных носителей персональных данных).

7. Определение и документальное фиксирование порядка обработки обращений субъектов персональных данных (или их законных представителей) по вопросам обработки их персональных данных.

8. Определение и документальное фиксирование порядка действий в случае запросов Уполномоченного органа по защите прав субъектов персональных данных или иных надзорных органов, осуществляющих контроль и надзор в области персональных данных.

9. Для каждой ИСПДн организации определение и документальное фиксирование:

-- цели обработки персональных данных;

-- объема и содержания обрабатываемых персональных данных;

-- перечня действий с персональными данными и способа их обработки.

Объем и содержание персональных данных, а также перечень действий и способы обработки персональных данных в соответствии целям обработки.

10. При обработке различных категорий персональных данных для каждой категории персональных данных рекомендуется использовать отдельный материальный носитель.

11. Определение и документальное фиксирования перечня (списка) работников, осуществляющих обработку персональных данных в ИСПДн либо имеющих доступ к персональным данным.

Возможно существование перечня (списка) в электронном виде при условии предоставления работникам прав доступа в ИСПДн только на основании распорядительного документа в документально зафиксированном в организации порядке.

Доступ работников организации к персональным данным и обработка персональных данных работниками организации осуществляется только для выполнения их должностных обязанностей.

12. Работники организации, осуществляющие обработку персональных данных в ИСПДн, информируются о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, а также ознакомляются под роспись со всей совокупностью требований по обработке и обеспечению безопасности персональных данных в части, касающейся их должностных обязанностей.

13. Определение и документальное фиксирование порядка доступа работников организации и иных лиц в помещения, в которых ведется обработка персональных данных.

14. Определение и документальное фиксирование порядка хранения материальных носителей персональных данных, устанавливающего:

-- места хранения материальных носителей персональных данных;

-- требования по обеспечению безопасности персональных данных при хранении их носителей;

-- работников, ответственных за реализацию требований по обеспечению безопасности персональных данных;

-- порядок контроля выполнения требований по обеспечению безопасности персональных данных при хранении материальных носителей персональных данных.

15. При обработке персональных данных на бумажных носителях, в частности, при использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных,. соблюдаются требования, установленные “Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации”, утвержденным Постановлением Правительства РФ от 15сентября 2008г. №687[29].

4. Обоснование выбора средств защиты информации

4.1 Средства инженерно-технической защиты

4.1.1 Выбор системы защиты периметра

Защита периметра -- комплексная задача, для эффективного решения которой очень важен правильный выбор охранной системы и оптимальное сочетание физического барьера, затрудняющего проникновение на объект, со средствами охранной сигнализации.

Система защиты периметра должна решать ряд задач.

Во-первых, она препятствует проникновению на объект случайных лиц, злоумышленников и нарушителей (террористов, расхитителей и т.д.). То есть, она должна обладать элементами, которые предотвращают свободный доступ кого бы то ни было на объект. Такими элементами в системах, как правило, являются заборы, изгороди и инженерные заграждения.

Следующей важной задачей, которую решает система охраны периметра, является обнаружение нарушителя. Эту функцию в системах, как правило, выполняют различного рода извещатели, то есть технические средства охраны периметра, основанные на различных принципах действия и обнаружениях[10].

Так как система защиты периметра на порядок дороже внутренней системы сигнализации, а для сельской администрации не целесообразно тратить такие средства на установку и поддержание системы в должном виде, то основной задачей будет выполнение общестроительных работы по укреплению и ремонту ограждений и по очистке периметра от растительности[14].

4.1.2 Выбор устройств оповещения, контроля и управления средствами защиты

В данном пункте будут рассмотрены устройства контроля и управления, которыми необходимо оснастить контрольный пункт, и средства оповещения, которыми необходимо оснастить здание.

Прибор приемо-контрольный

Проанализировав различные модели приемо-контрольных приборов, предлагается оснастить объект одним прибором ВЭРС-ПК-16 М прибор приемно-контрольный охранно-пожарный на 16 шлейфов.

Внешний вид устройства представлен на рисунке 4.1.

Рис. 4.1 ВЭРС-ПК-16 М

Прибор предназначен для контроля шлейфов сигнализации (ШС) с установленными в них охранными и пожарными извещателями, выдачи извещений:

- ПОЖАР / ТРЕВОГА с помощью реле ПЦН;

- НЕИСПРАВНОСТЬ с помощью электронного ключа (О.К.), а также управления на объекте звуковым и световым оповещателями.

Основные характеристики

Все ШС разбиты на группы. Каждая группа может программироваться с охранными или пожарными функциями, что позволяет оборудовать охрану объекта не только от проникновения, но и от пожара. В приборах ВЭРС-ПК2-4-8 шлейфы сгруппированы в 2 группы, а в приборах ВЭРС-ПК16-24 в 3 группы.

Каждая группа ШС имеет свой релейный выход на ПЦН, что важно при организации на объекте нескольких рубежей охраны.

Передача раздельных извещений каждым групповым реле ПЦН:

- для пожарных ШС НОРМА / ПОЖАР;

- для охранных ШС НОРМА / ТРЕВОГА.

Первый ШС (если он охранный) работает по тактике с программируемой задержкой, то есть объект берется под охрану через 60 секунд после включения этого ШС в режим охраны; при нарушении этого ШС звуковое оповещение включается с задержкой 15 секунд.

Каждый шлейф управляется раздельно.

Питание шлейфов постоянным напряжением 12 В, ток через ШС в дежурном режиме составляет 3 мА. Оконечный элемент резистор 7,5 кОм. Каждый шлейф обеспечивает питание токопотребляющих извещателей с током до 3 мА, что позволяет подключать к нему до 60 извещателей типа ИП212-41м.

Селекция входных сигналов (в ШС) по длительности, помехоустойчивый алгоритм обработки сигнала.

Повышенная достоверность обнаружения пожара (перезапрос состояния пожарных извещателей при поступлении извещения ПОЖАР), что позволяет формировать команду на управление оповещением 1, 2, 3 типа по НПБ 104 от одного пожарного оповещателя (п.13.1 НПБ 88-2001).

Контроль по одному двухпроводному шлейфу двух независимых зон контроля, т.е. при срабатывании одного пожарного извещателя прибора выдает извещение ВНИМАНИЕ, а при срабатывании второго извещателя ТРЕВОГА.

Встроенный резервный источник питания. В исполнении на 1 контролируемый ШС внутрь прибора устанавливается аккумулятор емкостью 1,2 А*ч; в исполнениях на 2-4-8 контролируемых ШС 4,5 А*ч; в исполнениях на 16-24 ШС 7 А*ч. В дежурном режиме обеспечивается работа ППК от резервного источника в течение не менее 24 часов, а в режиме тревоги не менее 5 часов.

Сохранение всей информации при полном обесточивании прибора и восстановление выдаваемых извещений при восстановлении питания.

Оповещатели охранно-пожарные

В данной курсовой работе рассматривается оповещатель охранно-пожарный свето-звуковой «Призма-200». Его внешний вид представлен на рисунке 4.2.

Рис.4.2 Призма-200

Светозвуковой оповещатель "Призма-200" служит для подачи световых и звуковых сигналов о состоянии охраняемого объекта в системах охранно-пожарной сигнализации.

Светозвуковой оповещатель "Призма-200" содержит сирену со звуковым давлением 100 дБ. Подключается к приемно-контрольным охранно-пожарным приборам (ППКОП). Оповещатель может использоваться и внутри помещения, и в качестве внешнего под навесом. Для улучшения видимости подаваемых сигналов применены светодиоды повышенной яркости. Для защиты от несанкционированного доступа внутрь оповещателя используется антисаботажная кнопка (тампер). Конструктивно "Призма-200" выполнена в ударопрочном брызгозащищенном пластмассовом корпусе[21].

Оповещатель защищен от попадания внутрь твердых тел и капель воды и имеет степень защиты оболочки IP41 по ГОСТ 14254-96.

Для оснащения объекта устройствами контроля, управления и оповещения требуется установить следующие устройства:

*ППКОП «ВЭРС-ПК-16»

*2 светозвуковых оповещателя «Призма-200»

Источник бесперебойного питания

Для выбора источника бесперебойного питания было проведено сравнение различных моделей ИБП. Рациональным выбором является СКАТ-2400. Результаты сравнения приведены в таблице 4.1.

Таблица 4.1. Результаты сравнения источников бесперебойного питания

Скат-1200Д

Скат-2400

ВЭРС-БРП-1203

БИРП 12/2,5В

Напряжение сети, В

170-250

220

150-264

180-270

Выходное напряжение, В:

при наличии сети

при отсутствии сети

12,9-13,95

24

11

12-14

9,5-12,6

18

10,5

10-12

Номинальный ток нагрузки, А

1

1,5

1

2,5

Максимальный ток нагрузки, не более, А

5

3,5

2,5

5

Двойная амплитуда пульсаций, мВ

30

26

20

24

Страница:


Подобные документы

Работы в архивах красиво оформлены согласно требованиям ВУЗов и содержат рисунки, диаграммы, формулы и т.д.
PPT, PPTX и PDF-файлы представлены только в архивах.
Рекомендуем скачать работу.

© 2000 — 2023, ООО «Олбест» Все права защищены