Обеспечение защиты информации в локальных вычислительных сетях

Размещено на http://www.allbest.ru/

Содержание

Обозначения и сокращения

Введение

Глава 1. Анализ информационной системы

1.1 Описание предприятия

1.2 Схема системы документооборота

1.3 Структура и особенности сети предприятия

1.4 Информационные ресурсы

Глава 2. Разработка частной модели угроз

2.1 Описание ИСПДн

2.2 Анализ и классификация источников угроз информации, циркулирующей на объекте

2.3 Модель нарушителя

2.4 Анализ предполагаемой квалификации нарушителя

2.5 Определение актуальных угроз безопасности ПДн в ИСПДн

2.6 Частная модель угроз

Глава 3. Разработка политики информационной безопасности и организационно-распорядительной документации

3.1 Правовая основа обеспечения ИБ предприятия

3.2 Цели обеспечения безопасности информации на предприятии

3.3 Цели и задачи политики информационной безопасности

3.4 Порядок внутреннего анализа рисков

3.5 Должностные обязанности администраторов

3.6 Планирование мероприятий по информационной безопасности для компонент автоматизированной системы

3.7 Физическая безопасность

3.8 Технические средства

3.9 Функциональные средства

Заключение

Список используемой литературы



Обозначения и сокращения

ИБ - информационная безопасность

ПДн - персональные данные

ИСПДн - информационная система персональных данных

УБПДн - угрозы безопасности персональных данных

СЗПДн - средство защиты персональных данных

АС - автоматизированная система

ИС - информационная система

АРМ - автоматизированное рабочее место

ПЭМИ - побочное электромагнитное излучение

ИР - информационные ресурсы

ПО - программное обеспечение

СЗИ - средство защиты информации

СКЗИ - средство криптографической защиты информации

ЛВС - локальная вычислительная сеть

СВТ - средства вычислительной техники

ДМЗ - демилитаризованная зона

НСД - несанкционированный доступ

КЗ - контролируемая зона

ОРД - организационно-распорядительная документация

ФСБ России - Федеральная служба безопасности

ФСТЭК России - Федеральная служба по техническому и экспортному контролю



Введение

Актуальность работы. Обеспечение информационной безопасности на сегодняшний день выступает в качестве одного из самых главных требований к информационным системам. Причиной этому служит наличие неразрывной связи между информационными технологиями и основными бизнес-процессами во всех организациях, будь то государственная служба, промышленное предприятие, финансовая структура, операторы телекоммуникаций.

Обеспечить внутреннюю информационную безопасность -- не только российская, но и общемировая проблема. В первые годы внедрения корпоративных локальных сетей основная головная боль компании заключалась в несанкционированном доступе к коммерческим данным путем внешнего взлома (хакерская атака), на сегодняшний день с этой проблемой успешно справляются. Во всех IT-отделах крупных уважающих себя компаний, как правило, имеется обширное число антивирусов, которые ограждают программы (файрволы) и другие средства борьбы с внешними атаками. Так, достижения российских программистов в вопросах обеспечения внешней безопасности достаточно велики -- отечественные антивирусы по праву считаю одними из лучших в мире.

С позиции информационной безопасности множество современных компаний имеют вид крепостей, окруженных несколькими мощными стенами. Однако исходя из практики, все равно происходит утечка информации. Так, становится явной необходимость создания эффективных и экономически выгодных систем безопасности информационных систем предприятия.

Для повышения осведомленности пользователей в области рисков, связанных с информационными ресурсами и для определения степени ответственности и обязанностей сотрудников по обеспечению информационной безопасности на предприятии было решено разработать политику информационной безопасности и организационно-распорядительную документацию в области информационной безопасности для предприятия ФКУ «Налог-Сервис» ФНС России в Тюменской области.

Целью дипломной работы является разработка политики информационной безопасности и организационно-распорядительной документации в области информационной безопасности для предприятия ФКУ «Налог-Сервис» ФНС России в Тюменской области.

Целью дипломного проекта является совершенствование системы защиты информации в ФКУ «Налог-Сервис».

Объектом дипломного проектирования является - технология обеспечения информационной безопасности, а предметом дипломного проектирования - информационная безопасность предприятия.

Для достижения поставленной цели были выделены следующие задачи:

анализ информационной системы;

анализ и классификация источников угроз информации;

разработка частной модели угроз информационной безопасности;

разработка политики информационной безопасности;

разработка регламентов, положений и инструкций в области информационной безопасности.

Теоретическую и методологическую основу данной работы составляют труды, выполненные отечественными и зарубежными учеными в сфере безопасности информационных систем. Особая роль отводится законодательным актам и нормативным документам Российской Федерации, периодическим изданиям, учетным и отчетным данным организации. В ходе разработки и решения поставленных задач были применены такие методы, как наблюдение, группировка, сравнение, обобщение, абстрактно-логическое суждение и др.



Глава 1. Анализ информационной системы

1.1 Описание предприятия

ФКУ «Налог-Сервис» ФНС России в Тюменской области (ФКУ «Налог-Сервис») создано для уменьшения объема ручных операций и сроков обработки информации, максимальной автоматизации процедур налогового администрирования, а также централизации информационных ресурсов на федеральном уровне, что даст возможность значительно улучшить качество обслуживания налогоплательщиков.

Основной целью деятельности предприятия является организационно-техническое и информационное обеспечение деятельности Федеральной налоговой службы России и ее территориальных органов, в пределах полномочий, переданных от ФНС России.

ФКУ «Налог-Сервис» осуществляет администрирование технического, программного и информационного обеспечения автоматизированной информационной системы ФНС России (АИС Налог).

Основные виды деятельности ФКУ «Налог-Сервис»:

централизованный ввод в систему электронной обработки данных (ЭОД) данные, поступившие в налоговую инспекцию на бумажном носителе или в электронном виде по каналам связи, а это: налоговые декларации и бухгалтерская отчетность;

ввод сведений по иным документам, поступающим в налоговые инспекции, а также ввод сведений, получаемых ИФНС на плановой основе в соответствии со статьей 85 Налогового Кодекса РФ. Это сведения об имуществе, земельных участках, сведения кадастрового учета, паспортные данные лиц и многие другие. (Полный перечень этих сведений можно посмотреть в ст. 85 НК);

большое количество документов и требуется налоговыми органами. Двойное истребование (повторное у одного и того же плательщика) на данный момент запрещено, поэтому сотрудники вводят сведения об истребованных документах в систему ЭОД и в центр обработки данных, чтобы исключить повторное истребование. Это касается таких документов, как: счета-фактуры, книги покупок/продаж, выписки банков и другие, которые получены налоговыми органами в результате процедуры истребования;

централизованная печать и/или массовая рассылка налогоплательщикам налоговых документов по имущественным налогам, в т.ч. в электронном виде по телекоммуникационным каналам связи;

централизованное архивное хранение в бумажном и электронном виде документов, поступающих или образующихся в результате деятельности налоговых органов;

формирование архивных фондов, осуществление учета, хранения научно-технической обработки архивных документов, образовавшихся в результате деятельности налоговых органов;

обеспечение мероприятий по защите информации.

1.2 Схема системы документооборота

Общая схема циркуляции информации в системе документооборота представлена на Рисунке 1.1.



Рисунок 1 -- общая схема циркуляции информации в системе документооборота

1.3 Структура и особенности сети предприятия

Рассмотрим структуру и особенности сети предприятия (рис. 2):

Рисунок 2 -- структура сети предприятия



Внутренний сегмент ЛВС - сегмент (или совокупность сегментов) ЛВС налогового органа, в котором расположены сервера и рабочие станции пользователей, на которых обрабатывается информация ограниченного доступа или которые взаимодействуют с компонентами автоматизированной системы (АС), на которых такая информация обрабатывается.

Интернет-сегмент ЛВС - сегмент ЛВС налогового органа, в котором расположены рабочие станции пользователей и, возможно, сервера, на которых не обрабатывается информация ограниченного доступа и которые не взаимодействуют с компонентами АС, на которых такая информация обрабатывается.

Демилитаризованная зона (ДМЗ) - сегмент (или совокупность сегментов) ЛВС налогового органа, в котором расположены компоненты АС, взаимодействующие с сетью Интернет.

Ключевые особенности сети:

Локальная вычислительная сеть (ЛВС) налогового органа и Интернет-сегмент реализованы в различных структурированных кабельных системах (СКС);

Подключение к сети Интернет ЛВС налогового органа допускается осуществлять только с использованием средств шифрования трафика (в виде VPN-туннеля);

Взаимодействие между внутренним сегментом ЛВС и интернет-сегментом запрещено;

Взаимодействие между внутренним сегментом ЛВС и сетью Интернет запрещено;

Специальных ограничений на взаимодействие между интернет-сегментом и демилитаризованной зоной не накладывается;

Взаимодействие между внутренним сегментом ЛВС и демилитаризованной зоной допускается только по протоколу терминального соединения (для установления связи с терминальным сервером доступа в сеть Интернет), протоколу FTP (для передачи файлов из ДМЗ на рабочую станцию пользователя) и почтовым протоколам.

1.4 Информационные ресурсы

Объектом защиты являются информационные ресурсы (ИР) налоговых органов (библиотеки, архивы и фонды; банки, базы и файлы данных; отдельные документы на традиционных носителях), содержащие зафиксированные на материальном носителе (независимо от его формы) сведения, используемые в процессе сбора, обработки, накопления, хранения, распространения, взаимодействия в рамках исполнения возложенных на ФКУ «Налог-Сервис» функций.

К ИР ФКУ «Налог-Сервис», содержащим информацию ограниченного доступа (распространения) относится информация конфиденциального характера:

Налоговые ИР -- ресурсы по государственной регистрации налогоплательщиков; содержащие полученные налоговыми органами сведения о налогоплательщиках: охраняемые налогоплательщиком сведения о производственной деятельности и коммерческой деятельности (ресурсы: «Недействительные паспорта», «Банковские счета», НДС, «Налоговая отчетность по форме 7-НП», «Сведения о физических лицах», частично: «ЕГРИП», «ЕГРЮЛ» в части сведений о номере документа, о дате выдачи и об органе, выдавшем документ, удостоверяющий личность физического лица и т.д.);

ИР персональных данных -- ресурсы, содержащие сведения, составляющие персональные данные работников налоговых органов (ресурсы: «Бухгалтерия», «Кадры», «Бюро пропусков» и другие);

Служебные ИР -- ресурсы, содержащие сведения, необходимые для обеспечения работы информационно-аналитической системы ФКУ «Налог-Сервис», в том числесведения, составляющие служебную тайну взаимодействующих с ФКУ «Налог-Сервис»органов государственной власти;

Технологические ИР -- ресурсы, содержащие сведения о принципах, методах, технических решениях и правилах обеспечения безопасности информации в ФКУ «Налог-Сервис» и ее территориальных органах;

ИР ключевых систем информационной инфраструктуры.

Защита ИР, содержащих информацию ограниченного доступа (распространения), представляет собой принятие правовых, организационных и технических мер, направленных на:

обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

соблюдение конфиденциальности информации;

реализацию права на доступ к информации в соответствии с законодательством Российской Федерации.

К ИР, содержащих открытую информацию, которые подлежат защите от уничтожения, модифицировании, блокирования, а также от иных неправомерных действий в отношении такой информации, и на реализацию права на доступ к информации относятся:

Открытые налоговые ИР - ресурсы, содержащие сведения о нарушениях законодательства о налогах и сборах, и мерах ответственности за эти нарушения, а также сведения, передаваемые средствам массовой информации, в соответствии с законодательством Российской Федерации;

Базовые государственные ИР - ресурсы, содержащие сведения, по реализации государственной услуги, по регистрации юридических лиц и индивидуальных предпринимателей, а также ресурсы, подключаемые к единой системе межведомственного электронного взаимодействия (ресурсы: «ЕГРН», «ЕГРИП», «ЕГРЮЛ» (за исключением сведений, отнесенных к информации ограниченного доступа);

Общедоступные ИР - ресурсы, содержащие информацию о деятельности налоговых органов в соответствии Федеральным законом № 8-ФЗ «Об обеспечении доступа к информации о деятельности государственных органов и органов местного самоуправления».

Защита Открытых ИР представляет собой принятие правовых, организационных и технических мер, направленных на:

обеспечение защиты информации от уничтожения, модифицирования, блокирования, а также от иных неправомерных действий в отношении такой информации;

реализацию права каждого на доступ к информации.



Глава 2. Разработка частной модели угроз

2.1 Описание ИСПДн

ИСПДн предприятия представляет собой распределенную информационную систему, состоящую из рабочих станций и серверов. ИСПДн имеет подключения к сетям связи общего пользования. Обработка ПДн производится в многопользовательском режиме с разграничением прав доступа, речевая обработка ПДн не производится. Технические средства ИСПДн находятся в пределах Российской Федерации.

В ИСПДн одновременно обрабатываются данные менее 1000 субъектов, которые позволяют идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением 1 категории персональных данных.

Для объектов защиты ИСПДн установлены следующие характеристики безопасности:

конфиденциальность;

целостность;

доступность.

Осуществляется взаимодействие с информационными системами:

Федеральной налоговой службы;

Пенсионного фонда РФ;

Фонда социального страхования;

Трудовой инспекции;

Федеральной миграционной службы;

Кредитно-финансовых организаций (банки).

2.1.1 Организация физической безопасности объектов (охрана)

Охрана осуществляется круглосуточным постом на входе в охраняемую территорию компании. Режим входа работников в организацию -- по персональным идентификационным карточкам доступа или на основании служебного удостоверения. Пребывание посетителей осуществляется в сопровождении работника предприятия. В организации действует охранно-пожарная сигнализация. Во всех кабинетах установлены пожарные и охранные датчики различных типов. Ведется видеонаблюдение.

2.1.2 Описание объектов безопасности, требующих защиты

Таблица 1 -- Содержание объектов защиты для ИСПДн предприятия

Описание объекта безопасности	Примечание
ПДн в виде акустических (речевых) сигналов. Носителем ПДн является пользователь ИСПДн, осуществляющий голосовой ввод ПДн в ИСПДн, акустическая система ИСПДн, воспроизводящая ПДн, а также технические средства ИСПДн и ВТСС, создающие физические поля, в которых информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.	В организации не производится голосовая обработка ПДн.
ПДн на средствах отображения графической, видео- и буквенно-цифровой информации. Угрозы утечки видовой информации реализуются за счет просмотра ПДн с помощью оптических (оптико-электронных) средств с экранов дисплеев и других средств отображения средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн.	В организации применяются СВТ, обрабатывающие видовую информацию: мониторы АРМ и серверов.
ПДн в виде побочных информативных электромагнитных полей и электрических сигналов. Возникновение угрозы ПДн по каналам ПЭМИН возможно за счет перехвата техническими средствами побочных (не связанных с прямым функциональным значением элементов ИСПДн) информативных электромагнитных полей и электрических сигналов, возникающих при обработке ПД техническими средствами ИСПДн.	В ИСПДн применяются средства вычислительной техники, обладающие свойствами излучения ПЭМИ: (системные блоки, мониторы и т.п.).
АРМ пользователя ИСПДн. АРМ пользователей являются технической частью ИСПДн, через которые возможна реализация различных видов атак.	В ИСПДн имеются рабочие станции пользователей, на которых производится обработка персональных данных.
Серверы ИСПДн. Серверы ИСПДн обрабатывают наибольшие объемы конфиденциальной информации и являются объектом различных угроз и атак.	В ИСПДн имеются серверы, на которых производится обработка персональных данных.
Базовая система ввода-вывода АРМ пользователя или сервера. Несанкционированный доступ базовой системе ввода/вывода (BIOS) дает возможность перехвата управления загрузкой операционной системы и получения прав доверенного пользователя.	Применяемые в ИСПДн средства вычислительной техники включают в свою архитектуру базовую систему ввода/вывода.
Атрибуты безопасности (логины, пароли), данные, содержащие аутентификационную информацию. Аутентификационные данные являются наиболее критичной в плане безопасности информацией.	В ИСПДн применяются методы идентификации и аутентификации пользователей ИСПДн, с целью обеспечения санкционированного доступа к конфиденциальной информации.
Общесистемное или прикладное ПО. Угрозы, связанные с получением несанкционированного доступа к ПО, дают возможность нарушения основных характеристик безопасности информации.	В ИСПДн используется следующее основное ПО: -- Microsoft SQL Server -- Microsoft Windows Server 2008 -- Microsoft Windows Server 2003 -- Microsoft Windows XP Pro RU -- 1С 8.2 Конфигурация «Зарплата и управление персоналом» -- Microsoft Windows Server Standart 2003 R2 -- 1С Бухгалтерия+Зарплата и кадры 8.0 -- Microsoft SQL Server 2005 -- Kaspersky Business Space Security Russian Edition
Технические средства ИСПДн. Технические средства ИСПДн подвержены угрозам утечки информации по техническим каналам, а также другим угрозам нарушения основных характеристик безопасности информации.	В ИСПДн используются современные общепринятые технические средства: персональные компьютеры, мониторы, ноутбуки, принтеры, сканеры, копиры, факсы, телефоны и т.п.
ПДн, иная конфиденциальная информация на бумажных носителях. Конфиденциальная информация, обрабатываемая не автоматизированным способом, во избежание нанесения ущерба субъектам ПДн, должна защищаться.	В ИСПДн возможна обработка ПДн сотрудников организации на бумажных носителях.
Состав, маршрутно-адресная информация, сетевые службы и некоторые иные характеристики сети и ее узлов. Информация об сетевой инфраструктуре конфиденциальна. Цель - снижение вероятности реализации сетевых атак и других угроз, использующих уязвимости ЛВС.
Носители информации с ПДн. Все носители конфиденциальной информации, используемые в организации должны быть учтены в установленном порядке. Характер работы с ними должен находиться под контролем ответственных лиц.	В организации могут использоваться различные виды носителей: диски, их массивы, флэш-карты, бумажные носители.
Списываемые технические средства ИСПДн, носители информации. Списываемые технические средства могут содержать остаточную конфиденциальную информацию, данные о ИСПДн и способах ее защиты. Процедуры утилизации должны быть регламентированы и выполняться под контролем ответственных лиц.	В организации организовано плановое обновление технических средств на более современные.
Персонал организации. Сотрудники организации могут попасть под воздействие со стороны злоумышленника, могут нанести вред субъектам ПДн по неосторожности или самостоятельно преследовать корыстные цели. Поэтому работа с персоналом по линии информационной безопасности является наиболее актуальной.	Доступ к элементам ИСПДн имеют сотрудники, обрабатывающие персональные данные, а также обеспечивающие функционирование системы.

2.2 Анализ и классификация источников угроз информации, циркулирующей на объекте

При анализе и классификации источников угроз информации, циркулирующей на объекте исходим из предположения, что для одной и той же угрозы методы отражения для внешних и внутренних источников могут быть разными. Особую группу внутренних источников составляют специально внедрённые и завербованные агенты из числа вспомогательного, основного, технического персонала и представителей отдела информационной безопасности.

Было решено разделить все источники угроз безопасности информации на три основные группы:

антропогенные источники угроз (ошибки эксплуатации, ошибки проектирования и разработки компонентов АС, преднамеренные действия нарушителей и злоумышленников;

техногенные источники угрозы (аварии, сбои и отказы оборудования (технических средств));

обусловленные стихийными источниками (стихийные бедствия, катаклизмы).

Таким образом, классификация и перечень источников угроз присущих объекту информатизации представлены Таблицах 2; 3

Таблица 2 -- Антропогенные источники угроз

№ п/п	Внешние антропогенные источники	№ п/п	Внутренние антропогенные источники
1.	Криминальные группы и отдельные преступные субъекты	1.	Работники предприятия (Основной персонал)
2.	Потенциальные преступники (недобросовестные налогоплательщики) и хакеры	2.	Администраторы АС, ЛВС, ТКУ, Администратор безопасности, программисты, администратор домена
3.	Персонал поставщиков телематических услуг (Провайдеры)	3.	Технический персонал
4.	Представители надзорных организаций и аварийных служб	4.	Работники отдела безопасности

В качестве антропогенных источников угроз выступают субъекты, имеющие санкционированный/несанкционированный доступ к работе со штатными средствами объекта информатизации, действия которых могут быть распознаны, как умышленные или совершенные по неосторожности. Данная группа источников угроз представляет наибольший интерес, так как действия субъекта всегда можно оценить, спрогнозировать, и принять соответствующие меры. Контрмеры в этом случае напрямую зависят от действий организаторов информационной безопасности.

Таблица 3 -- Техногенные источники угроз

№ п/п	Внешние техногенные источники угроз	№ п/п	Внутренние техногенные источники угроз
1.	Средства связи, промышленные установки ионизирующего излучения, системы энергообеспечения	1.	Некачественные технические средства обработки информации
2.	Сети инженерных коммуникаций (водоснабжения, канализации)	2.	Некачественные программные средства обработки информации
3.	Транспорт (авиационный, железнодорожный, автомобильный, водный)	3.	Вспомогательные средства (охраны, сигнализации, телефонии, видеонаблюдения, СКУД)
		4.	Другие технические средства, применяемые на предприятии

Техногенные источники угроз характеризуются технократической деятельностью человека и развитием техники.

Группа стихийных источников угроз объединяет обстоятельства, составляющие непреодолимую силу, то есть такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех, которые невозможно предусмотреть или предотвратить, или возможно предусмотреть, но невозможно предотвратить. Защитные меры от стихийных источников угроз должны применяться всегда, т.к. их невозможно спрогнозировать. Стихийные источники угроз информационной безопасности по отношению к защищаемому объекту, как правило, являются.



2.3 Модель нарушителя

Все нарушители делятся на две основные группы: внутренние и внешние. Под внутренними нарушителями подразумеваются все работники объекта информатизации, имеющие санкционированный доступ на территорию объекта к ресурсам автоматизированной системы (АС). Под внешними нарушителями подразумеваются все остальные лица.

2.3.1 Внешние нарушители лица, самостоятельно создающие методы и средства реализации атак, а также самостоятельно реализующие атаки, совершающие свои действия с целью нанесения ущерба;

поставщики программного обеспечения и технических средств (могут владеть информацией о структуре сети, недекларированных возможностях оборудования и программного обеспечения).

Внешние нарушители могут знать организационно-техническую структуру объекта информатизации, и быть, в том числе, бывшими работниками.

2.3.2 Внутренние нарушители пользователь информационных ресурсов объекта информатизации;

обслуживающий персонал (системные администраторы, администраторы АС, администраторы баз данных, инженеры);

работники-программисты, сопровождающие системное, общее и прикладное программное обеспечение;

другие работники структурных подразделений, имеющие санкционированный доступ на объект информатизации, где расположено оборудование передачи и обработки информации.

Возможности внутреннего нарушителя зависят от действующих в пределах контролируемой зоны режимных и организационно-технических мер защиты, в том числе по допуску физических лиц к ПДн.

Внутренние потенциальные нарушители подразделяются на восемь категорий в зависимости от способа доступа и полномочий доступа к ПДн.

Таблица 4 -- Описание модели нарушителя для ИСПДн предприятия.

№ п/п	Описание нарушителя	По методике ФСТЭК	Описание (пример)
1	Лица, не имеющие права доступа в контролируемую зону информационной системы	Внешний	Разведывательные службы государств, криминальные структуры, конкуренты, недобросовестные партнеры, внешние субъекты (физические лица).
2	Лица, имеющие санкционированный доступ к ИСПДн, но не имеющие доступа к ПДн	Категория 1	Директор филиала; Отдел системного администрирования,
3	Зарегистрированные пользователи ИСПДн, осуществляющие ограниченный доступ к ресурсам ИСПДн с рабочего места	Категория 2	Все пользователи информационной системы ФКУ «Налог-Сервис»
4	Зарегистрированные пользователи ИСПДн, осуществляющие удаленный доступ к ПДн по локальным и (или) распределенным информационным системам	Категория 3	--
5	Зарегистрированные пользователи ИСПДн с полномочиями администратора безопасности сегмента (фрагмента) ИСПДн	Категория 4	--
6	Зарегистрированные пользователи с полномочиями системного администратора ИСПДн	Категория 5	--
7	Зарегистрированные пользователи с полномочиями администратора безопасности ИСПДн	Категория 6	--
8	Программисты-разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его сопровождение на защищаемом объекте	Категория 7	--
9	Разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств на ИСПДн	Категория 8	--

2.3 Анализ предполагаемой квалификации нарушителя

Анализ предполагаемой квалификации потенциального нарушителя проводится по классификационным признакам. Кто бы ни был источником нарушения, какое бы оно не было, все нарушители имеют одну общую черту -- доступ к объекту информатизации.

Применительно к конкретным условиям функционирования объекта информатизации уровень технической подготовки потенциального нарушителя, его квалификацию необходимо ранжировать следующим образом:

не является специалистом в области вычислительной техники;

самый низкий уровень возможностей - запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции при обработке информации;

возможности создания и запуска собственных программ с новыми функциями по обработке информации;

возможность управления функционированием автоматизированной системы, т.е. воздействием на базовое программное обеспечение системы, на конфигурацию ее оборудования;

включает весь объем возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав АС собственных технических средств с новыми функциями по обработке информации.

Внешний нарушитель не имеет непосредственного доступа к штатным средствам объекта информатизации, зачастую действует в сговоре с внутренним нарушителем. Нарушитель может использовать пассивные и/или активные методы вторжения в АС.

При пассивном вторжении нарушитель использует каналы утечки информации, не нарушая информационный поток и не влияет на содержание информации. Он наблюдает за прохождением информации по информационно-телекоммуникационной сети. Пассивное вторжение опасно при несоблюдении специальных требований и рекомендаций по защите конфиденциальной информации. Пассивное вторжение всегда связано только с нарушением конфиденциальности информации, т.к. при этом никаких действий с объектами доступа не производится.

При активном вторжении нарушитель стремится подменить, исказить или уничтожить информацию, передаваемую по информационно-телекоммуникационной сети, получить удаленный доступ к информационным ресурсам АС, преодолев систему разграничения доступа, оказывает воздействие на персонал объекта информатизации. По каналам передачи данных он может выборочно модифицировать, удалить, задержать или изменить порядок следования сообщений, пытаться подобрать пароли. Активное вторжение осуществляется с использованием методов несанкционированного доступа (НСД).

В качестве внутреннего нарушителя на объекте информатизации рассматривается субъект, имеющий доступ к работе со штатными средствами объекта. Внутренний нарушитель имеет возможность непосредственного доступа к материальным носителям информации, к средствам автоматизированной обработки данных. Внутренние нарушители характеризуются по уровню возможностей, предоставляемых им штатными средствами.

Применительно к объекту информатизации, внутренних нарушителей можно разделить на группы:

пользователи информационных ресурсов (госналогинспектора, бухгалтеры, сотрудники кадровых аппаратов и другие пользователи, работающие с узким кругом прикладного программного обеспечения);

обслуживающий персонал (администраторы АС, ЛВС, ТКУ, администраторы безопасности СКЗИ, сотрудники отдела безопасности осуществляющие настройку и эксплуатацию средств защиты информации, в том числе криптографической);

сотрудники-программисты, сопровождающие системное, общее и прикладное программное обеспечение, администраторы баз данных;

другие работники подразделений объекта информатизации, имеющие санкционированный доступ на объект, где расположено оборудование передачи и обработки информации АС.

Первые две группы по уровню возможностей относятся к пользователям, допущенным к обработке информации в АС, последние две относятся к работникам наделенными полномочиями по администрированию и обслуживанию АС. Однако не исключается возможность, что внутренний нарушитель, воспользовавшись недекларированными возможностями установленного программного обеспечения, может повысить свои полномочия.

2.4 Определение актуальных угроз безопасности ПДн в ИСПДн

При определении актуальности угроз и их описании используются два методических документа, разработанных и утвержденных ФСТЭК России:

Базовая модель угроз безопасности ПДн при их обработке в ИСПДн;

Методика определения актуальных угроз безопасности ПДн при их обработке в ИСПДн.

2.4.1 Расчет исходной защищенности

В таблице 5 представлена информация по расходу исходной защищенности ИСПДн предприятия.



Таблица 5 -- Расход исходной защищенности ИСПДн предприятия

Показатели защищенности	Уровень защищенности
Технические и эксплуатационные характеристики ИСПДн	Высокий	Средний	Низкий
По территориальному размещению:
Распределенная ИСПДн, которая охватывает несколько областей, краев, округов или государство в целом;	-	-	+
городскаяИСПДн, охватывающая не более одного населенного пункта (города, поселка);	-	-	+
корпоративная распределенная ИСПДн, охватывающая многие подразделения одной организации;	-	+	-
локальная (кампусная) ИСПДн, развернутая в пределах нескольких близко расположенных зданий;	-	+	-
Локальная ИСПДн, развернутая в пределах одного здания	+	-	-
По наличию соединения с сетями общего пользования:
ИСПДн, имеющая многоточечный выход в сеть общего пользования;	-	-	+
ИСПДн, имеющая одноточечный выход в сеть общего пользования;	-	+	-
ИСПДн, физически отделенная от сети общего пользования	+	-	-
По встроенным (легальным) операциям с записями баз персональных данных:
чтение, поиск;	+	-	-
запись, удаление, сортировка;	-	+	-
модификация, передача	-	-	+
По разграничению доступа к персональным данным:
ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем ИСПДн, либо субъект ПДн;	-	+	-
ИСПДн, к которой имеют доступ все сотрудники организации, являющейся владельцем ИСПДн;	-	-	+
ИСПДн с открытым доступом	-	-	+
По наличию соединений с другими базами ПДн иных ИСПДн:
интегрированная ИСПДн (организация использует несколько баз ПДнИСПДн, при этом организация не является владельцем всех используемых баз ПДн);	-	-	+
ИСПДн, в которой используется одна база ПДн, принадлежащая организации - владельцу данной ИСПДн	+	-	-
По уровню обобщения (обезличивания) ПДн:
ИСПДн, в которой предоставляемые пользователю данные являются обезличенными (на уровне организации, отрасли, области, региона и т.д.);	+	-	-
ИСПДн, в которой данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации;	-	+	-
ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн)	-	-	+
По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки:
ИСПДн, предоставляющая всю базу данных с ПДн;	-	-	+
ИСПДн, предоставляющая часть ПДн;	-	+	-
ИСПДн, не предоставляющая никакой информации.	+	-	-
Итого для ИСПДн Филиала, (%)	14%	29%	57%

ИСПДн имеет низкий уровень исходной защищенности и соответственно коэффициент Y1 равен 10.

По итогам оценки уровня защищенности Y1 и вероятности реализации угрозы Y2, рассчитывается коэффициент реализуемости угрозы Y и определяется возможность реализации угрозы. Коэффициент реализуемости угрозы Y будет определяться соотношением Y = ( Y1 + Y2)/20.

Анализ рисков производится исходя из непосредственных целей и задач по защите конкретного вида информации конфиденциального характера.

Цель анализа рисков заключается в определении характеристик рисков АС и её ресурсов. Результаты анализа рисков используются в рамках мероприятий по экспертизе средств защиты как один из критериев оценки уровня защищённости АС.

При проведении анализа рисков учитываются следующие основные факторы:

ценность программно-аппаратных и информационных ресурсов автоматизированной системы;

значимость угроз и уязвимостей;

эффективность существующих или планируемых средств обеспечения информационной безопасности.

Возможность реализации угрозы оценивается вероятностью её реализации в течение заданного отрезка времени для некоторого ресурса АС. При этом вероятность реализации угрозы определяется следующими основными показателями:

привлекательность ресурса (показатель используется при рассмотрении угрозы от умышленного воздействия со стороны человека);

возможность использования ресурса для получения дохода (также используется при рассмотрении угрозы от умышленного воздействия со стороны человека);

технические возможности реализации угрозы;

степень лёгкости реализации уязвимости.

Проведение анализа рисков позволяет:

предметно описать состав и структуру информационной системы;

расположить имеющиеся ресурсы по приоритетам, основываясь на степени их важности для полноценного функционирования АС;

оценить угрозы и идентифицировать уязвимости АС.

Таким образом, было обнаружено некоторое количество актуальных угроз, вот некоторые из нх:

Компрометация паролей BIOS или дополнительных аппаратных средств аутентификации;

Подбор пароля BIOS (или дополнительных аппаратных средств аутентификации);

Использование технологического пароля BIOS;

Загрузка сторонней операционной системы (без средств защиты и разграничения доступа к ресурсам компьютера);

Предоставление пользователям прав доступа (в том числе по видам доступа) к ПДн и другим ресурсам ИСПДн сверх необходимого для работы;

Неумышленное (случайное), преднамеренное копирование доступных ПДн на неучтённые (в том числе отчуждаемые) носители, в том числе печать неучтённых копий документов с ПДн на принтерах;

Неумышленная (случайная), преднамеренная модификация (искажение) доступных ПДн;

Неумышленное (случайное), преднамеренное добавление (фальсификация) ПДн;

Неумышленное (случайное), преднамеренное уничтожение доступных ПДн (записей, файлов, форматирование диска, уничтожение носителей);

Разглашение (например, при разговорах, записывание на бумаге и т.п.) пользовательских имён и паролей;

Использование для входа в систему чужих идентификаторов и паролей;

Оставление без присмотра незаблокированных рабочих станций;

Внедрение и запуск сторонних программ (технологических, инструментальных и т.п.);

Изменение настроек и режимов работы ПО, модификация ПО (удаление, искажение или подмена программных компонентов ИСПДн или СЗИ) (преднамеренное или случайное);

Подкючение к ИСПДн стороннего оборудования (компьютеров, дисков и иных устройств, в том числе имеющих выход в беспроводные сети связи);

Нарушение работоспособности технических средств;

Вмешательство в работу средств защиты (нарушение правил использования);

Несанкционированное изменение конфигурационных файлов ПО (настроек экрана, сети, прикладных программ и т.п.);

Установка программных «клавиатурных шпионов»;

Использование нетрадиционных каналов инсайдером для передачи ПДн;

Удаление или искажение регистрационных данных СЗИ (преднамеренное или случайное);

Несанкционированный доступ к ПДн на бумажных носителях;

Проявление ошибок в программном обеспечении ИСПДн (в том числе в СЗИ);

Сбои и отказы технических средств;

Использование не учтенных съемных носителей и устройств;

Запуск сторонних программ (преднамеренный или не преднамеренный);

Программные закладки;

Использование программ-анализаторов пакетов (снифферов) для перехвата ПДн (и иной конфиденциальной информации), идентификаторов и паролей удалённого доступа;

Выявление активных сетевых служб, используемых портов, версий программ (уязвимых);

Выявление не используемых, но установленных сетевых служб (уязвимых);

Подбор идентификаторов и паролей пользователей сетевых служб (и их последующее использование).

Для уменьшения риска реализации угроз, были предложены меры противодействия, вот некоторые из них:

Разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки и защиты информации;

Контроль несанкционированного доступа и действий пользователей;

Реализация разрешительной системы допуска пользователей;

Реализация подсистемы управления доступом; Реализация подсистемы регистрации и учета; Реализация подсистемы надежной идентификации и аутентификации; Реализация подсистемы обеспечения целостности; Реализация подсистемы антивирусной защиты; Реализация подсистемы централизованного управления СЗПДн;

Учет и хранение съемных носителей, и их обращение, исключающее хищение, подмену и уничтожение;

Резервирование технических средств, дублирование массивов информации и носителей;

Ограничение доступа пользователей в помещения;

Предотвращение внедрения в ИС вредоносных программ и программных закладок;

Реализация подсистемы безопасного межсетевого взаимодействия; Реализация подсистемы анализа защищенности; Использование защищенных каналов связи; Защита информации криптографическими методами;

Размещение технических средств ИСПДн в пределах охраняемой территории.

2.5 Частная модель угроз

Для определения возможных каналов утечки информации, обнаруженных на этапе обследования, необходимо разработать документ Частная модель угроз безопасности ПДн при их обработке в ИСПДн. Этот документ содержит перечень угроз безопасности ИСПДн предприятия, расчет актуальности которых рассчитывался исходя из уровня исходной защищенности, уязвимости, позволяющие осуществить их практическую реализацию, а также методы и способы защиты информации, позволяющие снизить актуальность угроз до приемлемого уровня.

Угрозы безопасности ПДн, обрабатываемых в ИСПДн, содержащиеся в модели угроз, могут уточняться и дополняться по мере выявления новых источников угроз УБПДн в ИСПДн.



Глава 3. Разработка политики информационной безопасности и организационно-распорядительной документации

3.1 Правовая основа обеспечения ИБ предприятия

Правовой основой обеспечения ИБ являются положения Конституции Российской Федерации, федеральных законов, указов Президента Российской Федерации, постановлений и распоряжений Правительства Российской Федерации, нормативных правовых актов законодательства Российской Федерации, нормативных и руководящих документов ФСТЭК России и ФСБ России по вопросам защиты информации.

Базовыми законами в области обеспечения ИБ является Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации», устанавливающий необходимость защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации.

Основу правового обеспечения деятельности ФКУ «Налог-Сервис» устанавливает Налоговый кодекс Российской Федерации (НК РФ), вводящий понятие налоговой тайны.

Особое место в правовой основе обеспечения ИБ занимают Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» и положения нормативно-методических документов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры (КСИИ).

Действующее в настоящее время постановление Правительства Российской Федерации от 03.11.94 № 1233 «Об утверждении Положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти» относит к служебной тайне любую информацию, которая касается деятельности органов государственной власти, ограничение на распространение которой диктуется служебной необходимостью. Должностные лица и работники налоговых органов могут иметь доступ к производственной (коммерческой) тайне налогоплательщиков, поэтому необходимо также руководствоваться Гражданским кодексом Российской Федерации (ГК РФ) и Федеральным законом от 29.07.2004 № 98-ФЗ «О коммерческой тайне».

При организации электронного взаимодействия с другими органами государственной власти, а также оказанием государственных услуг налогоплательщикам, наряду с нормативными документами, регламентирующими технические аспекты защиты телекоммуникационной инфраструктуры системы межведомственного электронного взаимодействия, административными регламентами, необходимо опираться на положения Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи», обеспечивающего юридическую значимость электронных документов.

3.2 Цели обеспечения безопасности информации на предприятии

Главной целью обеспечения безопасности информации в ФКУ «Налог-Сервис» является предотвращение (минимизация) ущерба субъектам правоотношений в результате противоправных действий с информацией, приводящих к ее разглашению, утрате, утечке, искажению (модификации), уничтожению или незаконному использованию, либо нарушению работы ИС налоговых органов и телекоммуникационной инфраструктуры предприятия, используемой для информационного обмена и взаимодействия с органами государственной власти и организациями.

Основными целями обеспечения безопасности информации являются:

предотвращение несанкционированного доступа к информации;

предотвращение нарушений прав субъектов при обработке информации;

предупреждение последствий нарушения порядка доступа к информации;

недопущение воздействия на технические средства обработки информации;

недопущение деструктивного информационного воздействия на информацию.

3.3 Цели и задачи политики информационной безопасности

Политика призвана обеспечить и постоянно поддерживать следующие свойства информации в автоматизированной системе:

Целостность и аутентичность информации, хранимой, обрабатываемой в АС и передаваемой по информационно-телекоммуникационной сети.

Конфиденциальность информации ограниченного распространения, хранимой, обрабатываемой СВТ и передаваемой по каналам связи.

Доступность хранимой и обрабатываемой информации для законных пользователей.

Предоставить обзор требований к информационной безопасности АС и к отдельным ее компонентам.

Описание действия над существующими подсистемами и планируемые изменения в них с целью приведения к соответствию указанным требованиям.

Описать правила поведения и ответственность пользователей, имеющих доступ к системе.

3.4 Порядок внутреннего анализа рисков

Внутренний анализ рисков производится администратором безопасности с привлечением системного администратора с периодичностью не менее одного раза в год.

Целью внутреннего анализа рисков является оценка текущего состояния подсистемы информационной безопасности АС, прогнозирование требуемых затрат на ее поддержание и модернизацию.

Методика проведения внутреннего анализа рисков не регламентируется и может быть выбрана администратором безопасности в соответствии с организационными особенностями предприятия и параметрами технических средств АС и согласовывается с начальником отдела информационных технологий.

Типовая Модель нарушителя представляется в приложениях к Политике информационной безопасности.

Возможные каналы утечки и Типовая модель угроз информационной безопасности так же представляются в приложениях к Политике информационной безопасности.

Общий анализ рисков проводится в рамках мероприятий по аудиту информационной безопасности в порядке, установленным в Политике информационной безопасности.

3.4.1 Аудит информационной безопасности

Целью аудита информационной безопасности является подтверждение соответствия используемых методов и технологий обеспечения информационной безопасности допустимому уровню риска АС.

Проверки, оценки или подсчёты, связанные с защитой АС, проводятся ответственными сотрудниками под руководством системного администратора и администратора безопасности.

В случае необходимости проведения независимых оценок, соответствия используемых методов и технологий, обеспечения информационной безопасности сторонними организациями, все мероприятия производятся с письменного разрешения (приказа, распоряжения) Руководителя предприятия и под контролем системного администратора. Попытки применения средств анализа защищённости АС, а также попытки нарушения информационной безопасности АС без письменного разрешения Руководителя предприятия не допускаются.

Результаты аудита содержат отчёты по обеспечению безопасности АС в целом или её логических компонентов. Описания, выявленные факты и рекомендации, полученные в ходе проведения экспертизы, используются для дальнейшей оценки степени риска АС.

Проверки и аудиты могут быть проведены независимо от сотрудников, ответственных за функционирование общей системы поддержки. Необходимые аудиты могут быть осуществлены как изнутри, так и извне АС.

Аудит (комплексная проверка мер по обеспечению информационной безопасности) проводятся не реже одного раза в год. Отдельные проверки систем на потенциальные повреждения осуществляются с периодичностью, необходимой для поддержания требуемого уровня оперативности статистических данных, применяемых для анализа рисков.

3.5 Должностные обязанности администраторов

3.5.1 Обязанности администратора информационной безопасности

Администратор информационной безопасности обязан:

1. Осуществлять практическую реализацию положений Политики.

2. Осуществлять проектирование, разработку и контроль реализации Политики, а также корректировать ее в соответствии с изменяющейся внутренней и внешней информационной средой.

3. Осуществлять разработку практических требований и рекомендаций по настройке аппаратных, программных и программно-аппаратных средств обеспечения информационной безопасности, применяемых в предприятии.

4. Осуществлять тестирование и экспертизу средств защиты, применяемых в рамках АС.

5. Производить анализ рисков на основе данных аудита.

6. По результатам экспертизы средств защиты предоставлять в распоряжение начальника отдела безопасности отчёт, содержащий план защиты предприятия, включающий:

описание уязвимостей, которые могут привести к реализации атак;

анализ и прогнозирование рисков в соответствии с представленной методикой;

распределение ролей, обязательств, полномочий и ответственности системных администраторов и пользователей АС;

документ, описывающий конкретные действия, выполняемые для обнаружения атак в сети предприятия;

документ, описывающий регулярно выполняемые процедуры проверки и анализа зарегистрированных данных для обнаружения в них следов совершенных атак;

документ, описывающий процедуры и инструментальные средства взаимосвязи информации об отдельных атаках;

документ, определяющий потенциальные изменения инфраструктуры, связанные с возможным расширением или реструктуризацией сети по мере ее развития.

7. Другие обязанности администратора информационной безопасности определяются в его должностном регламенте.

3.5.2 Обязанности системного администратора

Системный администратор обязан:

Предоставлять администратору информационной безопасности любую информацию относительно параметров, режимов функционирования и особенностей настроек всех информационных систем.

Информировать пользователей АС об установленных правилах Политики информационной безопасности и следить за ее выполнением.

Обеспечивать практическую реализацию положений Политики информационной безопасности предприятия.

Осуществлять распределение ролей, обязательств, полномочий и ответственности пользователей АС.

Следить за выполнением пользователями Политики информационной безопасности.

Осуществлять добавление в АС новых пользователей, изменение их полномочий в АС, а также удалять пользователей из АС по указанию администратора информационной безопасности.

Обеспечивать работоспособность АС в части технического и системного программного обеспечения.

Обеспечивать работоспособность АС антивирусной защиты.

3.6 Планирование мероприятий по информационной безопасности для компонент автоматизированной системы

Для каждого из этапов функционирования компонентов АС предъявляются требования к реализации мер по планированию обеспечения информационной безопасности.

3.6.1 Предпроектная стадия

Предпроектная стадия включает в себя предпроектное исследование вопросов, связанных с предлагаемым компонентом, разработку аналитического обоснования необходимости создания СЗИ и технического задания.

На этом этапе необходимо проанализировать особенности предлагаемого компонента, а также его роль в АС с точки зрения обеспечения информационной безопасности. Необходимо формализовать:

...