В соответствии полученными данными, необходимо усовершенствовать исходную систему безопасности будем внедрения некоторых аппаратно - программных средств и введения такого понятия как «организационные методы защиты».

3.2 Разработка политики информационной безопасности

1. Общие сведения

1.1 Наименование

Система информационной безопасности ФГБОУ ВПО «Нижегородский государственный архитектурно-строительный университет»

2. Цели и назначение проектирования системы

2.1 Цели проектирования системы

– Обеспечение защиты субъектов информационной системы университета от несанкционированного доступа внешних нарушителей;

– Разделение пользователей информационной системы университета и присвоение им соответствующих прав доступа и действий;

– Обеспечение защиты от модификации и уничтожения конфиденциальной информации соответствующих управлений;

– Расширение теоретических знаний сотрудников университета в области информационной безопасности с целью минимизации антропогенных угроз;

– Своевременное определение угроз безопасности объектам и субъектам информационной системы университета, их ликвидация и реализация плана действий при возникновению последующих угроз;

– Обеспечение постоянного контроля режима безопасности информационной системы, с целью предоставления непрерывного доступа к информационным службам университета для поддержания деятельности;

– Реализация мер защиты от вирусных атак;

– Разработка и последующие сохранение условий для минимизации нарушений и ущерба системе информационной безопасности университета.

2.2 Назначение проектируемой системы

Проектируемая система информационной безопасности разрабатывается с целью обеспечения комплексной защиты объектов информационной системы университета, посредством усовершенствования исходной системы. Проектируемая политика соответствует нормативным актам и требованиям.

3. Характеристики объекта защиты

ФГБОУ ВПО «Нижегородский государственный архитектурно-строительный университет» является государственным учреждением с распределенной многопользовательской структурой с разграничением доступа к информационным службам.

4. Требования к системе

Система должна соответствовать стандартам и нормативным документам в области информационной безопасности и обеспечивать защиту на:

– Организационном уровне;

– Программном уровне;

– Техническом уровне.

5. Объекты защиты

5.1 Перечень информационных порталов

Данный перечень разрабатывается на основании обследования информационной системы университета.

5.2 Перечень физических объектов защиты:

– Рабочая станция администратора системы;

– Серверы баз данных;

– Обрабатываемые данные управлений университета, не подлежащие для публичного доступа;

– Программные и аппаратные средства обработки информации;

– Действующая система защиты;

– Каналы обмена данными;

– Локальные вычислительные сети.

6. Классификация пользователей системы информационной безопасности

Пользователь - лицо, использующее информационную систему и результаты её работы. Все выделенные пользователи имеют доступ к ресурсам информационной системы в соответствии с определенными правилами и обязанностями. Пользователей учреждения можно разделить на:

– Руководство - сотрудники университета, обеспечивающие выполнение правил и принципов существующей политики информационной безопасности;

– Администратор информационной системы - сотрудники университета, конфигурирующие, внедряющие дополнительные модули и контролирующие информационную систему;

– Администратор информационной безопасности - сотрудники университета, обеспечивающие целостность ресурсов, циркулирующих в информационной системе;

– Пользователи информационной системы - лица университета (персонал управлений, преподаватели и сотрудники), эксплуатирующие информационную систему и имеющие идентификационные данные для доступа к разрешенным данным.

7. Требования к функционалу в соответствии с классом защищенности

7.1 Подсистема управления доступом

– Должны быть реализованы механизмы аутентификации пользователя при попытке входа в информационные службы;

– Основные атрибуты пользователя: идентификатор, профиль и управление/отдел/подразделение;

– Основные права доступа: чтение, запись, выполнение;

– Атрибуты пользователя не должны распространяться;

– Права доступа имеют только авторизованные пользователи;

– Пользователи имеют доступ к рабочим станциям в соответствии с регламентом учреждения;

– Управление потоками данных осуществляется в соответствии с грифом конфиденциальности данных.

7.2 Подсистема обеспечения целостности

Должно обеспечиваться состояние неизменности серверов, системного и программного обеспечения. В качестве средств обеспечения целостности данных можно выделить:

– Авторизация и аутентификация пользователей информационной системы с целью обеспечения безопасности данных;

– Шифрование (повышает уровень защиты данных, но усложняет процесс разграничения доступа);

– Проведение аудита позволяет постоянно контролировать объекты информационной системы;

– Средства резервного копирования позволяют восстановить данные в результате сбоя или отказа технических средств;

– Фильтрация входных данных с целью выявления SQL - инъекции с шифрованием паролей;

– Физическая безопасность (контроль территории, пропускной режим, контроль помещений с техническими средствами системы);

Все меры безопасности должны проводиться под руководством администратора безопасности.

7.3 Подсистема регистрации и учета

Обеспечивает регистрацию входа/выхода субъектов доступа в систему/из системы; Осуществление контроля над исполняемыми программами и процессами, функционирующими с защищенными данными; регистрация попыток доступа к программным средствам. Основными параметрами являются:

– Дата и время;

– Наименование программы, к который запрашивается доступ;

– Результат действия (успешный/неуспешный);

– Ключ, идентифицирующий субъект во время доступа.

8. Требования к организационному обеспечению

8.1 В соответствии с выявленными угрозами, необходимо провести ряд организационных мер, направленных на расширение знаний персонала в области информационных технологий. Работа с сотрудниками:

– при получении прав для доступа к информационной системе персонал должен получить от администратора информацию о методах и средствах защиты;

– если сотрудник университета не обладает знаниями принципов и средств защиты информации, он не имеет доступа к системе;

– инструкция доступа к объектам и допуска к ресурсам информационной системы университета;

– введение средств дистанционного обучения персонала;

– изучение угроз, связанных с действиями сотрудников;

– информирование сотрудников управлений/отделов о запрете разглашения конфиденциальной информации, циркулирующей в соответствующем управлении/отделе;

– информирование сотрудников о запрете разглашения и передачи идентификационных данных пользователя для доступа к служебным системам другим лицам;

– соблюдение пользователем правил доступа к информационной системе университета;

– определение ответственность за нарушение политики информационной безопасности университета.

8.2 Фиксирование происшествий:

– программными или иными способами оперативное выявление происшествия;

– устранение источника угрозы;

– определение контрмер и их последующая реализация при согласовании с системным администратором и администратором информационной безопасности университета;

– анализ ущерба, причиненного реализованной угрозой;

– анализ угрозы и создание плана действий, которые в последующем позволят избежать данной угрозы.

9. Требования к физической и технической защите

9.1 Физическая защита реализуется с использованием средств контроля (видеонаблюдение, сигнализация) и специальных устройств, которые способны предотвратить несанкционированный доступ внешний нарушителей к объектам системы безопасности университета;

9.2 Каждый корпус университета должен быть оборудован постом охраны;

9.3 Доступ на территорию университета осуществляется по специальным магнитным пропускам;

9.4 Доступ к ресурсам информационной системы университета осуществляется посредством ввода уникальных идентификационных данных (логин, пароль);

9.5 Идентификационные данные пользователя выдаются администратором безопасности университета, с возможностью последующей смены пароля;

9.6 Хранение паролей в базе информационной системы университета производится только в хешированном виде;

9.7 В случае увольнения сотрудника или отчисления студента из университета, его пропуск становится неактивным (размагничивается), а идентификационные данные удаляются из базы;

9.8 Система безопасности должна отслеживать действия пользователей и записывать в журнал.

10. Требования к аппаратно - программному обеспечению

10.1 Внедрение нового программного и аппаратного обеспечения в информационную систему университета возможно только после его тестирования;

10.2 Количество лицензий продукта должно совпадать с количеством рабочих станций университета, на которых будет использоваться данное обеспечение;

10.3 Конфигурация программного обеспечения может осуществляться только системным администратором университета;

10.4 Установка и использование программного обеспечения недопустимо без разрешения администратора университета и проведения тестирования;

10.5 Каждая рабочая станция должна иметь программу антивирусной защиты;

10.6 Внешние и съемные накопители перед запуском должны быть проверены на наличие вирусов;

10.7 Автоматическая реакция антивирусного обеспечения на обнаружение вируса;

10.8 В соответствии с классом защищенности информационной системы университета, межсетевые экраны должны быть не ниже третьего класса;

10.9 Использование нелицензированного обеспечения не допускается;

10.10 Аппаратное обеспечение сети должно находиться в отдельном помещении с ограниченным доступом;

10.11 Для обеспечения защиты информационной безопасности предприятия должно использоваться актуальные программные продукты лидеров в сфере информационной безопасности;

10.12 Аппаратные средства информационной системы университета должны корректно работать с операционными системами университета (Windows, Linux).

10.13 Аппаратные средства должны иметь функции масштабирования и легко конфигурироваться.

Настоящая политика разработана в соответствии с Руководящим документом 50-34.698-90 «Методические указания. Информационная технология. Комплекс стандартов и руководящих документов на автоматизированные системы. Автоматизированные системы. Требования к содержанию документов».



4. РАЗРАБОТКА ПОРТАЛА ПЕРВИЧНОЙ АВТОРИЗАЦИИ

4.1 Постановка задачи

Основной целью дипломной работы является создание комплексной системы информационной безопасности предприятия на примере информационной системы ННГАСУ. В результате исследования были выделены основные угрозы безопасности и меры по их предотвращению.

Одной из задач был анализ информационных потоков, в результате которого были выделены информационные порталы разного доступа. Было определено, что изолированные информационные системы достаточно хорошо защищены аппаратными и программными средствами. Однако внешние информационные порталы время от времени подвергаются атакам. Внешними информационными службами в университете являются:

– Tandem e - Learning;

– Moodle;

Данные информационные ресурсы используются для контроля учебной деятельности и дают возможность обучаться дистанционно, посредством системы управления образованием, которая позволяет распространять учебные материалы. Доступ к этим информационным ресурсам имеют руководство, сотрудники учебного отдела, преподаватели и студенты.

В результате изучения информационных ресурсов было решено разработать портал первичной авторизации пользователей, которая ограничит прямой доступ к внешним порталам, отделит систему внутренних ресурсов от внешних и уменьшит поверхность атаки.

С внедрением этого ресурса пользователь, прежде чем пройти авторизацию на порталах университета, должен её пройти на портале первичной авторизации. После успешного входа на портале, пользователь сможет получить доступ к образовательным системам.

Предметом разработки является портал для безопасного подключения к внешним информационным системам университета. Целевая аудитория портала: персонал учебного отдела, преподавательский состав, студенты.

Назначение портала:

– Проверка идентификационных данных пользователя внешних информационных систем;

– Ограничение времени доступа пользователя к ресурсам;

4.2 Требования к функциональности портала

– Подключение к исходной базе данных пользователей внешних информационных систем;

– Отказ в доступе к желаемому ресурсу, если пользователем не пройдена первичная авторизация;

– Ограниченная по времени сессия;

– При успешном осуществлении первичной авторизации, пользователь направляется на следующую страницу, на которой отображается время до закрытия сессии;

– Доступ к внешним ресурсам возможен до истечения времени сессии и пока в браузере не закрыта вкладка со страницей таймера сессии.

4.3 Разработка портала

Как и большинство веб - ресурсов, портал разрабатывается на скриптовом языке PHP. Работа портала заключается в отправке SQL запросов в базу данных и их последующей проверке. При внедрении портала в информационную среду университета, к порталу будет подключена существующая база данных пользователей внешних ресурсов. Ввиду ограниченности доступа к ресурсам, для проверки работоспособности портала была создана база данных и сайт, имитирующий внешний служебный ресурс университета. Для её создания была использована среда для администрирования баз данных PHPMyAdmin. Таблица базы данных users содержит семь полей:

– id (данное поле заполняется автоматически);

– name (содержит ФИО пользователя);

– email (содержит корпоративный e-mail пользователя);

– password (содержит пароль в хешированном виде);

Пароль хешируется посредством функции hash("sha256", password). Это стандартная функция, использующая алгоритм хеширования sha-256.

– date_from (время входа на портал);

– date_to (время окончания доступа к порталу);

При успешном входе на портал строка вошедшего пользователя обновляется, и в данные поля записывается время входа $date_from = time() и время окончания прекращения доступа $date_to = $time+(3600*5) соответственно. Где $time стандартная функция, содержащая в секундах время, прошедшее с полуночи 1 января 1970 года. Доступ прекращается спустя 5 часов после открытия сессии.

– online (информация о том, что пользователь находится на портале);

Это поле содержит текущее время нахождения пользователя на портале и обновляется каждые 10 секунд. Используется для проверки при входе на служебный внешний ресурс. На рисунке 2 показана структура базы данных.

Рисунок 2. Структура базы данных



Доступ к базе данных реализуется посредством расширения PHP Data Objects (PDO). С точки зрения защиты данный метод исключает возможность sql - инъекции, путем многократного выполнения prepared statement (заранее скомпилированное SQL - выражение). Подключение к базе данных осуществляется командой:

$this->db = new PDO("mysql:dbname=$dbname;host=localhost", $user, $password,)

array(

PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES UTF8"

));

При открытии страницы портала пользователь вводит в форму «Логин» и «Пароль». После нажатия кнопки «Войти» идет запрос в базу данных для проверки:

$query = $this->db->query("SELECT `id` FROM `users` WHERE `email` = '$login' AND `password` = '$pass'");

Если пользователя с таким логином нет, то появляется «Ошибка входа!»

if(!$result){

echo "<div class='error'>Ошибка входа!</div><hr><br>";

На рисунке 3 представлена главная страница портала. На рисунке 4 изображена ситуация, при входе незарегистрированного пользователя.



Рисунок 3. Главная страница портала

Рисунок 4. Ошибка входа

Если пользователь с таким именем зарегистрирован, то срабатывает SQL -выражение. Prepared statement выглядит следующим образом:

$query = $this->db->prepare("UPDATE `users` SET `date_from`=:time,`date_to`=:date_to WHERE `email` = :login");

Здесь происходит обновление базы путем добавления данных в поля date_to и date_from. Данные использующиеся в запросе:



$query->bindParam(":time", $time);

$query->bindParam(":date_to", $date_to);

$query->bindParam(":login", $login);

Выполнение самого запроса производится посредством $query->execute().

При переходе на следующую страницу создается сессия. В файлах «.htaccess» и «index.php» задается время жизни сессии. В данном случае установлено 5 часов (18000 секунд).

session_start();

ini_set('session.gc_maxlifetime', 18000);

ini_set('session.cookie_lifetime', 18000);

Также, при обновлении базы данных, в поле online добавляется текущее время.

$query = $this->db->prepare("UPDATE `users` SET `online`=:date WHERE `email` = :login");

$query->bindParam(":date", $date);

$query->bindParam(":login", $login);

$query->execute();

Для подтверждения статуса это время обновляется каждые 10 секунд. Процесс подтверждения реализован на JavaScript и содержит ajax запрос, который позволяет отправлять запросы в базу данных без перезапуска страницы.

$.ajax({

url: "inc/data.php",

global: false,

type: "POST",

data: "target=update&login="+$('#login').text(),

dataType: "text",

success: function(res){

}

}

);

На второй странице установлен таймер, который показывает время до окончания сессии. Функция таймера также реализована на JavaScript.

setInterval (function(){

var time = $('#time').text();

var current_time = new Date;

var time_end = time - Math.round(current_time.getTime()/1000);

var h = Math.floor(time_end/3600);

var m = Math.floor((time_end % 3600)/60);

var s = (time_end % 3600) % 60;

if(h<10)

h='0'+h;

if(m<10)

m='0'+m;

if(s<10)

s='0'+s;

$('.timer').text(h+':'+m+':'+s);

}, 1000);

На рисунке 5 изображена страница, на которую попадает авторизованный пользователь.

Рисунок 5. Вторая страница портала

После успешной авторизации на портале первичной авторизации пользователь имеет доступ к внешним информационным порталам университета.

При входе на информационный ресурс университета, пользователь также должен пройти авторизацию. При передаче запроса в базу данных идет проверка на предмет нахождения пользователя на портале первичной авторизации.

public function res_online($login){

$query = $this->db->query("SELECT * FROM `users` WHERE `email` = '$login'");

$result = $query->fetch(PDO::FETCH_ASSOC);

$date = time();

if($result['date_to']<$date || ($date - $result['online'])>20){

return 0;

}else{

return 1;

}



В этом случае сравнивается данные поля online. Данные поля online обновляются каждые 10, однако при внедрении портала в информационную структуру университета может произойти задержка, поэтому разница между текущим временем и временем в таблице сравнивается с двадцатью секундами. Если пользователь не прошел первичную регистрацию или пользователь ввел неверный пароль, то при входе на информационный ресурс университета будет выдана ошибка. На рисунках 6 и 7 изображены страницы информационного портала с ошибкой входа.

Рисунок 6. Ошибка при входе без первичной авторизации

Рисунок 7. Ошибка при входе с неверными данными

Пользователь может пользоваться внешними ресурсами университета только открытой вкладке портала с успешным входом. Так как информационные порталы университета содержат разные разделы, то пользователь будет постоянно куда-то перенаправляться. При выходе из портала или при закрытии вкладки после истечения двадцати секунд, при нажатии на любой раздел, пользователь будет перенаправлен на главную страницу данного ресурса.

Поэтому при случайном или намеренном нажатии на кнопку закрытия вкладки всплывает окно подтверждения перехода. На рисунке 8 показана ситуация при закрытии вкладки.

Рисунок 8.Появление всплывающего окна

В целом портал разработан в соответствии с главной целью диплома и обеспечивает защиту персональных данных пользователей, находящихся во внешних ресурсах. В дальнейшем подобный портал может быть разработан для корпоративных информационных систем, как одно из средств профилактики защиты информации.



ЗАКЛЮЧЕНИЕ

Для выполнения данной выпускной квалификационной работы были выполнены следующие задачи:

1. Изучение теоретико - правовой базы в области информационной безопасности;

2. Анализ исходной информационной системы ФГБОУ ВПО «Нижегородский государственный архитектурно-строительный университет»;

3. Анализ потенциальных угроз и мер борьбы с ними;

4. Разработка политики информационной безопасности в соответствии со стандартами и лучшими практиками;

5. Разработка портала для ограничения доступа к внешним информационным ресурсам университета.

В теоретической части работы были изучены основные законодательные и нормативные акты, стандарты и политики ведущих компаний. Были определены основные принципы построения системы информационной безопасности, которая обеспечит комплексную защиту данных.

На этапе исследования информационной системы университета было составлено описание предприятия и представлена организационная структура. В результате анализа аппаратно - программного обеспечения была определена структура сети и состав технических средств. Также была определена информация, циркулирующая в информационной системе университета, и отнесена к соответствующему грифу конфиденциальности.

Следующим шагом была разработка модели угроз и нарушителя. На этом шаге. Были определены основные источники угроз и классифицированы на антропогенные, техногенные и стихийные. В соответствии с Руководящим документом ФСТЭК были определены потенциальные внутренние и внешние нарушители, в результате чего выяснилось, что наиболее опасными являются внутренние нарушители. Для определения актуальных гроз была рассчитана исходная защищенность системы и определено, что объект обладает средней защищенностью, что является хорошим показателем. После определения актуальных угроз были предложены меры по борьбе с ними на техническом и организационном уровнях. Последним шагом в этой части было определение класса защищенности системы в соответствии с Руководящим документом Гостехкомиссии РФ. На основании данных, полученных при анализе системы, был установлен класс защищенности 1В.

В следующей части была разработана политика информационной безопасности университета с подробным указанием целей защиты, распределением ролей пользователей и описанием мер защиты. Меры защиты были разделены на организационные, физические и аппаратно - программные. Политика безопасности разрабатывалась на основании результатов анализа на соответствие существующей системы и стандартов. При разработке политики были «заполнены» пробелы, найденные в процессе анализа системы.

В финальной части был разработан портал для безопасного подключения к внешним информационным ресурсам университета. Разработка содержит базу данных, портал первичной авторизации и сайт - прототип информационных ресурсов. Для реализации был использован скриптовый язык PHP, для создания отдельных модулей был использован язык JavaScript. Вся работа построена на отправке запросов в базу данных и их последующей проверке. Доступ к базе данных осуществляется посредством метода PDO, который защищает портал от SQL - инъекций. Данный портал разработан для разграничения внешних и внутренних ресурсов университета и для уменьшения поверхности атаки.

Все поставленные цели выполнены. Разработанная политика безопасности может быть развита, в соответствии с развитием технологий и потенциальных угроз.



СПИСОК ЛИТЕРАТУРЫ

1. Галатенко В.А. Основы информационной безопасности: курс лекций: учебное пособие. М.: "Интернет-университет информационных технологий - ИНТУИТ.ру", 2003. 280 с.

2. Шаньгин В.Ф. Защита информации в компьютерных системах и сетях. М.: ДМК Пресс, 2012. 592 с.

3. Петренко С.А., Курбатов В.А. Политики безопасности компании при работе в Интернет. М.: ДМК Пресс, 2011. 369 с.

4. Проталинский О.М., Ажмухамедов И.М., “Информационная безопасность вуза”, Вестн. Астрахан. гос. техн. ун-та. Сер. управление, вычисл. техн. информ., 2009, № 1, 18-23

5. Редишев М. В., Трефилов В. В. «Средства и методы обеспечения конфиденциальности и целостности данных в СУБД»

6. ГОСТ Р ИСО/МЭК 17799-2005. Информационная технология. Практические правила управления информационной безопасностью. М.: Стандартинформ, 2006. - 56 с.

7. ГОСТ Р ИСО/МЭК 27001-2005. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования. М.: Стандартинформ, 2006. - 31 с.

8. ГОСТ Р ИСО/МЭК 15408 - 1 - 2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. М., 2002.

9. ГОСТ Р ИСО/МЭК 15408 - 2 - 2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности. М., 2002.

10. ГОСТ Р ИСО/МЭК 15408 - 3 - 2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности. М., 2002.

11. Федеральный закон Российской Федерации N 149-ФЗ «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 г.

12. Федеральный закон Российской Федерации №152-ФЗ «О персональных данных» от 27 июля 2006 г.

13. Руководящий документ 50-34.698-90 «Методические указания. Информационная технология. Комплекс стандартов и руководящих документов на автоматизированные системы. Автоматизированные системы. Требования к содержанию документов»

14. Руководящий документ Гостехкомиссии РФ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации»

15. Руководящий документ Гостехкомиссии РФ «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»

16. Руководящий документ ФСТЭК «Базовая модель угроз безопасность персональных данных при обработке в информационных системах персональных данных»

17. Руководящий документ ФСТЭК «Методика определения актуальных угроз безопасности персональных данных при обработке в информационных системах персональных данных»

18. Виды мер и основные принципы обеспечения информационной безопасности // Asher's Attic URL: http://asher.ru/security/book/its/06 (дата обращения: 28.05.2015).

19. О ВУЗЕ // ННГАСУ URL: http://www.nngasu.ru/sveden/common/index.php (дата обращения: 10.05.2015).



ПРИЛОЖЕНИЕ

Подсистемы и требования	Класс защищенности 1В
1. Подсистема управления доступом
1.1. Идентификация, проверка подлинности и контроль доступа субъектов:
- к системе	+
-к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ	+
- программам	+
- томам, каталогам, файлам, записям, полям записей	+
1.2. Управление потоками информации	+
2. Подсистема регистрации и учета
2.1. Регистрация и учет:
- входа (выхода) субъектов доступа в (из) систему(ы) (узел сети)	+
- выдачи печатных (графических) выходных документов	+
- запуска (завершения) программ и процессов (заданий, задач)	+
- доступа программ субъектов доступа к защищенным файлам, включая их создание и удаление, передачу по линиям и каналам связи	+
- доступа программ субъектов к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей	+
- изменений полномочий субъектов доступа	+
- создаваемых защищаемых объектов доступа	+
2.2. Учет носителей информации	+
2.3. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей	+
2.4. Сигнализация попыток нарушения защиты	+
3. Криптографическая система
3.1. Шифрование конфиденциальной информации	-
3.2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах	-
3.3. Использование аттестованных (сертифицированных) криптографических средств	-
4. Подсистема обеспечения целостности
4.1. Обеспечение целостности программных средств и обрабатываемой информации	+
4.2. Физическая охрана средств вычислительной техники и носителей информации	+
4.3. Наличие администратора (службы) защиты информации в АС	+
4.4. Периодическое тестирование СЗИ НСД	+
4.5. Наличие средств восстановления СЗИ НСД	+
4.6. Использование сертифицированных средств защиты	+

Размещено на Allbest.ru

...