htaccess» и «index.php» задается время жизни сессии. В

Федеральное государственное автономное образовательное учреждение
высшего профессионального образования
Национальный исследовательский университет
Высшая школа экономики
НИУ ВШЭ-Нижний Новгород
Факультет информатики, математики и компьютерных наук
Выпускная квалификационная работа
На тему: «Разработка модели системы информационной безопасности на
предприятии»
Студент группы 11ПМИ
Пономарева Е.О.
Оценка за работу____________
Руководитель: старший преподаватель
Кафедры МЕРА
Кряжев С.В.
Нижний Новгород
2015
СОДЕРЖАНИЕ
ВВЕДЕНИЕ .................................................................................................................. 3
АКТУАЛЬНОСТЬ ....................................................................................................... 4
1. ИЗУЧЕНИЕ ИНФОРМАЦИОННОЙ СИСТЕМЫ ПРЕДПРИЯТИЯ............... 13
1.1. Описание предприятия ................................................................................... 13
1.2. Состав аппаратных и программных средств и структура сети .................. 15
1.3. Анализ информационных потоков ................................................................ 19
1.4. Анализ информационных ресурсов .............................................................. 21
1.5. Физическая безопасность объектов (охрана) ............................................... 22
2. АНАЛИЗ И РАЗРАБОТКА МОДЕЛИ УГРОЗ................................................... 23
2.1. Классификация и анализ источников угроз и уязвимостей безопасности 23
2.2. Модель нарушителя ........................................................................................ 26
2.3. Определение актуальных угроз информационной системы ...................... 29
2.4. Определение класса защищенности информационной системы ............... 36
3. РАЗРАБОТКА МОДЕЛИ СИСТЕМЫ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ ..................................................................................................... 37
3.1. Анализ на соответствие стандартам и существующим политикам ........ 37
3.2. Разработка политики информационной безопасности ............................. 38
4. РАЗРАБОТКА ПОРТАЛА ПЕРВИЧНОЙ АВТОРИЗАЦИИ ......................... 46
4.2. Требования к функциональности портала ................................................. 47
4.3. Разработка портала ....................................................................................... 47
ЗАКЛЮЧЕНИЕ ......................................................................................................... 55
Список литературы ................................................................................................... 57
Приложение 1 ............................................................................................................ 59
2
ВВЕДЕНИЕ
Обеспечение безопасности информационных ресурсов давно стало
предметом обсуждения во многих учреждениях, в совокупности с развитием
информационных технологий это привело к развитию автоматизированных
систем. Эффективная система информационной безопасности позволяет
минимизировать риски, связанные с информацией, и способствует стабильной
деятельности информационных потоков предприятия.
Безопасность государственных учреждений, таких как высшие учебные
заведения, также требует высокого уровня информационной защищенности.
Информационные активы
ВУЗа
составляют
огромное
количество
сведений об учебной деятельности, по деятельности сотрудников с различным
уровнем доступа. Работники и студенты ВУЗа также отличный пример лиц с
различными правами доступа к информации.
Поэтому было решено
разработать эффективный комплекс мер для обеспечения информационной
безопасности ВУЗа.
Целью
дипломной
работы
является
разработка
комплекса
мер,
направленного на обеспечение информационной безопасности ВУЗа на
примере Нижегородского Государственного Архитектурно – Строительного
Университета.
Предметом исследования в дипломной работе является система защиты
информационной
безопасности
Нижегородского
Государственного
Архитектурно-Строительного Университета.
Дипломная работа состоит из четырех глав. В первой главе представлено
описание информационной системы организации, анализ информационных
ресурсов и технических средств. Во второй главе проанализированы
потенциальные угрозы системы и определена модель нарушителя. В третьей
главе разработана политика информационной безопасности. Четвертая глава в
форме
пояснительной
записки
содержит
первичной авторизации.
3
процесс
реализации
портала
АКТУАЛЬНОСТЬ
На современном этапе развития общества информационные технологии
являются неотъемлемой его частью. Информация стала одним из основных
средств социального - экономического, технического и научного прогресса
мирового сообщества. Развитие информационных технологий и расширение
информационного пространства приводит к постоянно растущему уровню атак
и нарушений в этой области, что делает проблемы информационной
безопасности всё более актуальными. Под информационной безопасностью
понимается состояние защищенности информации и поддерживающей ее
инфраструктуры от случайных или преднамеренных воздействий естественного
или искусственного характера, которые могут нанести ущерб владельцам или
пользователям информации.1
Обеспечения
информационной
безопасности
является
одним
из
ключевых факторов стабильного функционирования любого предприятия. На
сегодняшний
день
конфиденциальность,
целостность
и
доступность
информации является важным аспектом непрерывности бизнеса, поэтому всё
большее число организаций сосредоточены на вопросе информационной
безопасности. Таким образом, существует необходимость в эффективной и
интегрированной системе информационной безопасности.
Довольно часто, при создании информационной системы, организации
стремятся обезопасить свои информационные активы лишь на аппаратном и
программном уровнях защиты. Но такой уровень безопасности является
неэффективным и должен быть подкреплен нормами и правилами в области
информационной безопасности.
1
Галатенко В.А. Основы информационной безопасности: курс лекций: учебное пособие. М.: "Интернет-
университет информационных технологий - ИНТУИТ.ру", 2003. С. 280.
4
Подготовка и реализация системы безопасности в учреждении должна
осуществляться на основании существующего законодательства и нормативных
требований в сфере информационной безопасности. Основным документом
является Конституция РФ, согласно которой «сбор, хранение, использование и
распространение информации о частной жизни лица без его согласия не
допускается».
Другими
базовыми
документами
безопасности являются Федеральный закон
в
области
информационной
от 27.07.2006 № 149-ФЗ «Об
информации, информационных технологиях и защите информации», в
соответствии с которым, необходимо обеспечивать защиту информации от
несанкционированного доступа, модификации, уничтожения, копирования и
распространения данных.2 Федеральный закон от 27.07.2006 №152-ФЗ «О
персональных данных» регулирует
действия,
связанные с обработкой
персональных данных государственными учреждениями, с использованием
автоматизированных систем.3
Также следует брать во внимание закон РФ «О государственной тайне» и
закон РФ «О коммерческой тайне», который регламентирует порядок отнесения
информации к служебной тайне, режим служебной тайны и порядок
разглашения
соответствии
служебных
с
данных.4
которыми
Также
формируются
информации
(«Об
утверждении
характера»;
«Об
утверждении
Перечня
Перечня
существует
ряд
законов,
в
уровни
конфиденциальности
сведений
конфиденциального
сведений,
отнесенных
к
государственной тайне»; «Об утверждении Перечня сведении, которые не
могут составлять коммерческую тайну»).
2
Федеральный закон Российской Федерации N 149-ФЗ «Об информации, информационных технологиях и о
защите информации» от 27 июля 2006 г.
3
Федеральный закон Российской Федерации №152-ФЗ «О персональных данных» от 27 июля 2006 г.
4
Федеральный закон от 29.07.2004 N 98-ФЗ (ред. от 12.03.2014) "О коммерческой тайне" от 29 июля 2004 г.
5
В целом, законодательные РФ не учитывают и регулируют в полной мере
хранение и использование конфиденциальных данных.
Основными
регламентами
обеспечения
безопасности
со
стороны
процедурного и аппаратно – программного уровней являются стандарты и
спецификации. Это документы, содержащие испытанные, высококачественные
методологии и средства обеспечения безопасности.
В соответствии со стандартами, обеспечение безопасности объектов
информационной системы должно состоять из следующих этапов:
– выделение целей обеспечения информационной безопасности;
– проектирование действенной системы управления;
– анализ и оценка соответствия поставленным целям;
– анализ исходного состояния защищенности;
Стандарт ISO 15408: Common Criteria for Information Technology Security
Evaluation
(Общие
критерии
оценки
безопасности
информационных
технологий) содержит наиболее полные критерии безопасности программно –
аппаратного
уровня.
Общие
критерии
устанавливают
требования
по
функциональности безопасности. Помимо программно – аппаратного уровня
защиты стандарт описывает некоторые требования методов безопасности
организационного уровня и физической защиты. Стандарт состоит из трех
частей:
– первая часть включает понятийный аппарат, представление модели и
методологию оценки безопасности информационных технологий;
– вторая
часть
содержит
непосредственно
требования
функциональности аппаратно – программных средств;
– в третьей части приводятся требования гарантий безопасности;5
5
Международный стандарт ISO 15408: Common Criteria.
6
Стандарт ISO 17799: Code of Practice for Information Security Management
(Практические правила управления информационной безопасностью) содержит
наиболее полные критерии организационного уровня.
Стандарт
содержит
наиболее
эффективные
правила
управления
информационной безопасностью и критерии оценки методов безопасности
организационного уровня, с учетом административных, процедурных и
физических средств защиты. Стандарт содержит следующие разделы:
– политика безопасности;
– организация информационной безопасности;
– управление ресурсами;
– безопасность человеческих ресурсов;
– физическая безопасность;
– контроль доступа;
– администрирование информационных систем;
– разработка и сопровождение информационных систем;
– планирование непрерывной работы;
– контроль выполнения требований безопасности;6
Руководящий
документ
Гостехкомиссии
РФ
«Критерии
оценки
безопасности информационных технологий». Это документ разработан в
соответствии с ГОСТ Р ИСО/МЭК 15408-2002 и обеспечивает его практическое
использование. Основная цель РД – реализация комплексных методов по
обеспечению
безопасности
информационных
систем
и
использование
необходимого функционала. Он направлен на проектирование систем
безопасности соответствующих возможным угрозам и сохраняющих баланс
между эффективностью и стоимостью.7
Руководящий документ Гостехкомиссии РФ «Автоматизированные системы.
Защита от несанкционированного доступа к информации. Классификация
6
7
Международный стандарт ISO 17799: Code of Practice for Information Security Management.
Руководящий документ Гостехкомиссии РФ «Критерии оценки безопасности информационных технологий».
7
автоматизированных систем и требования по защите информации». Этот РД
определяет классификацию АС и в соответствии с классом определяет
требования к возможным подсистемам.8
Руководящий документ Гостехкомиссии РФ «Средства вычислительной
техники. Межсетевые экраны. Защита от несанкционированного доступа к
информации. Показатели защищенности от несанкционированного доступа к
информации». Первый РД, который не имеет зарубежных аналогов. Основная
идея данного РД – классификация межсетевых экранов в соответствии с
сетевой моделью OSI, которая фильтрует потоки данных.
На сегодняшний день в сфере реализации систем безопасности
сформировалось такое понятие как «лучшая практика». «Лучшая практика» это
такие политики безопасности, которые отражают наилучшие процедуры,
средства, руководства и стандарты безопасности и могут быть применимы как
эталон при разработке системы безопасности. Эталонными считаются политики
таких компаний, как Microsoft, IBM, Symantec и др.
1. Политика Symantec
Специалисты компании Symantec утверждают, что основой эффективной
системы безопасности являются руководящие документы, к числу которых
можно отнести: политики безопасности, международные стандарты, описание
процедур обеспечения безопасности и метрики. Все эти руководящие
документы способны ответить на три основных вопроса:
- почему нужно защищать информацию?
- что нужно предпринять для обеспечения безопасности?
- как реализовать политику в соответствии с требованиями?
Руководящий документ Гостехкомиссии РФ «Автоматизированные системы. Защита от
несанкционированного доступа. Классификация автоматизированных систем и требования по защите
информации».
8
8
Разработка
комплексной
системы безопасности должна включать
следующие этапы:
– анализ информационных активов;
– идентификация возможных угроз;
– анализ и оценка рисков безопасности;
– назначение лиц, ответственных за обеспечение безопасности;
– создание комплексной системы, в соответствии со стандартами,
руководствами и процедурами;
– управление системой безопасности;
2. Политика Microsoft
Стратегия информационной политики компании Microsoft содержит
четыре основных компонента:
– цель обеспечения информационной безопасности компании;
– нормы системной безопасности
– схема принятия решений (строится по результатам анализа рисков);
– определение действий по минимизации рисков;
Процесс разработки политики безопасности разделен на четыре категории:
– организационная (направленная на повышение осведомленности и
расширение знаний сотрудников в сфере информационной безопасности,
а также на поддержку руководства);
– данные
и
пользователи
(включает
такие
средства
защиты
как:
авторизация, защита персональных данных, аутентификация);
– разработка системы (разработка защищенной системы, сокращение
поверхности атаки, обеспечение простоты использования);
– сопровождение (регулярный контроль и журналирование системы,
реагирование на происшествия и инциденты);
9
Для поддержания уровня защищенности компания применяет контроль
информационных рисков (идентификация, оценка и минимизация рисков).
Такой подход позволяет достигнуть баланса между требованиями и методикой
защиты.
3. Политика IBM
Специалисты компании IBM выделяют четыре основных этапа построения
системы безопасности:
– идентификация информационных рисков и методов борьбы с ними;
– описание мер защиты активов в соответствии с задачами и целями
компании;
– описание действий при происшествиях;
– анализ остаточных рисков и принятие решение о дополнительном
капиталовложении в методы обеспечения безопасности;
Ответ на вопрос «Что нужно защищать?» - основной аспект политики
информационной безопасности, в соответствии со стратегией IBM. Политика
должна создаваться с целью минимальных её изменений в будущем.
Эффективная политика безопасности должна содержать:
– цели и задачи обеспечения информационной безопасности;
– взаимодействие со стандартами безопасности и законодательством;
– расширение знаний по вопросам информационной безопасности;
– выявление и ликвидация вирусных атак;
– обеспечение непрерывности деятельности;
– установление ролей и обязанностей персонала;
– журналирование инцидентов нарушения безопасности;
Далее идет процесс создания документации, которая содержит правила
анализа рисков компании, описание рекомендуемых методов и средств защиты
10
и так далее. Документация может подлежать изменениям в соответствии с
актуальными уязвимостями и угрозами.
Однако,
помимо
правовой
основы,
система
информационной
безопасности и её функции по обеспечению состоянию защищенности объекта
должны быть реализованы в соответствии с нижеизложенными принципами:
– легитимность (создание системы информационной безопасности, а
также реализация мероприятий по защите, не противоречащих
законодательству и нормативам);
– комплексность (разрабатываемая система защиты предусматривает
комплексную
реализацию
методов,
обеспечивает
защиту
информационных ресурсов на техническом и организационном
уровнях и предотвращает возможные пути реализации угроз);
– постоянность (обеспечивает непрерывную защиту объектов);
– прогрессивность (подразумевает непрерывное развитие средств и
методов защиты, в соответствии с развитием технологий и методов
атак);
– рациональность
(использование
экономически
выгодных
и
эффективных средств защиты);
– ответственность (каждый сотрудник ручается за обеспечение
безопасности в рамках своих полномочий);
– контроль (предполагает постоянный контроль над обеспечением
защиты и своевременное выявление угроз);
– использование действующей системы безопасности (проектируемая
система
создается
на
основе
действующей
системы,
с
использованием штатных аппаратных и программных средств);
– использование аппаратно – программных компонентов защиты
отечественного
безопасности
производства
предусматривает
технических средств защиты);
11
(проектирование
преобладание
системы
отечественных
– этапность
(проектирование
системы
безопасности
предпочтительнее делать поэтапно);9
Проанализировав существующие политики и стандарты информационной
безопасности можно утверждать, что для обеспечения надлежащего уровня
информационной защиты требуется комплекс мер, включающий в себя
функции программного обеспечения, политики безопасности, методы и
организационные структуры. В соответствии с этим и с основной целью
необходимо выполнить следующие задачи:
– изучить исходную информационную и организационную структуру
ФГБОУ
ВПО
«Нижегородский
государственный
архитектурно-
строительный университет»;
– по результатам анализа исходной информационной системы определить
конкретные угрозы и уязвимости информационной безопасности;
– определить уровень и класс исходной защищенности объекта;
– выявить актуальные угрозы;
– составить модель нарушителя;
– сопоставить исходную систему с требованиями стандартов безопасности;
– разработать
политику
безопасности
и
определить
действия
по
обеспечении информационной безопасности;
Выполнение
эффективную
вышеизложенных
систему
целей
информационной
и
задач
позволит
безопасности
создать
предприятия,
отвечающую требованиям законодательства и стандартам информационной
безопасности.
9
Петренко С.А., Курбатов В.А. Политики безопасности компании при работе в Интернет. М.: ДМК Пресс,
2011. С. 396.
12
1. ИЗУЧЕНИЕ ИНФОРМАЦИОННОЙ СИСТЕМЫ ПРЕДПРИЯТИЯ
1.1. Описание предприятия
Дата создания образовательной организации: 23 июня 1930 года.
Полное наименование организации: Федеральное государственное бюджетное
образовательное
учреждение
высшего
профессионального
образования
«Нижегородский государственный архитектурно-строительный университет».
Сокращенные
наименования: ННГАСУ,
ФГБОУ
ВПО
«Нижегородский
государственный архитектурно-строительный университет».
Полное наименование на английском языке: Nizhny Novgorod State University of
Architecture and Civil Engineering.
Сокращенное наименование на английском языке: NNGASU.
Место
нахождения
ВУЗа: 603950, Нижегородская
область,
г.
Нижний
Новгород, ул. Ильинская, д. 65.
Учредитель ВУЗа - Российская Федерация. Функции и полномочия учредителя
ВУЗа осуществляет Министерство Образования и Науки Российской
Федерации.
Место нахождения Учредителя: 125993, г. Москва, ул. Тверская, 11.
Ректор – Андрей Александрович Лапшин
ФГБОУ
ВПО
«Нижегородский
государственный
архитектурно-
строительный университет» является некоммерческой организацией, создан с
целью развития экономики и социальной среды региона, отрасли и России
посредством повышения уровня образования студентов на основе достижений
науки, инноваций и технологий.
Основные
направления
деятельности
ФГБОУ
ВПО
«Нижегородский
государственный архитектурно-строительный университет»:
 Подготовка конкурентоспособных, на российском и международном
рынке труда, специалистов строительной и смежных отраслей, на основе
современных образовательных стандартов и научных исследований;
 Обеспечение способного выдержать конкуренцию научного потенциала,
задействованного в реальных секторах экономики страны;
13
 Создание
и
совершенствование
условий
необходимых
для
самореализации, а также профессионального роста сотрудников и
студентов;
 Развитие межвузовской кооперации на российском и международном
уровне и укрепление положения на международной арене;
Общее управление ВУЗом осуществляет Ученый совет, в состав которого
входят:
Ректор
(председатель
Ученого
совета),
проректоры,
деканы
факультетов (по решению Ученого совета). Также в организационную
структуру ВУЗа входят управления, центы, отделы и другие подразделения.
Подробная организационная структура представлена на рисунке 1.10
Рисунок 1. Организационная структура ФГБОУ ВПО «Нижегородский
государственный архитектурно-строительный университет»
10
О ВУЗЕ // ННГАСУ [Электронный ресурс] URL: http://www.nngasu.ru/sveden/common/index.php (дата
обращения: 10.05.2015).
14
Нижегородский
государственный
архитектурно
–
строительный
университет, с непрерывно развивающейся структурой и модернизированной
учебной и научной базой, в современных условиях представляет собой активно
прогрессирующий комплекс. Университет обладает большой информационной
базой, которая содержится в специализированных программных продуктах.
Информационная защита учреждения представлена на достаточно высоком
уровне, но в рамках постоянно прогрессирующих атак и нарушений, требует
усовершенствования.
1.2. Состав аппаратных и программных средств и структура сети
Учебный процесс в ННГАСУ сопровождается значительной
информационной базой, развитием компьютерного парка и внедрением в
образовательный процесс модернизированных информационных систем. Для
обеспечения
учебного
процесса
все
кафедры
и
отделы
оснащены
персональными компьютерами и необходимой техникой. Для решения задач в
области применения современных информационных технологий в университете
оборудовано 8 компьютерных классов. Все персональные компьютеры ВУЗа
оснащены
лицензионным
программным
обеспечением
Microsoft
и
антивирусной защитой. Все аппаратные средства представлены в таблице 1.
Таблица 1. Состав аппаратных средств
Вычислительная техника
Количество
Персональные компьютеры (ПК)
2273
Принтеры
506
Многофункциональные устройства
266
(МФУ)
Проекторы
22
На сегодняшний день университет уделяет внимание компьютеризации
образовательного
процесса.
Для
оптимизации
учебной
деятельности
университет владеет всеми необходимыми современными программными
15
пакетами. В таблице 2 приведен перечень программного обеспечения,
используемого в ННГАСУ.
Таблица 2. Программное обеспечение
№
Название
программного №
продукта
Название
программного
продукта
1.
MS Windows
21. Patran
2.
MS Office
22. SSPS Base
3.
ASP Linux
23. CREDO
4.
MS Windows Server
24. Mapinfo
5.
MS Visual Studio
25. ZWCAD
6.
MS SQL Server
26. AutoCad
7.
MS Visio
27. NASTRAN
8.
MS Project
28. ГИС Zulu
9.
MS Access
29. Компас
10. 3D Studio Max
30. Арос - Лидер
11. Lingvo
31. 1С Предприятие
12. Borland Developer Studio
32. Мономах
13. ArchiCad
33. Эколог
14. Macromedia Dreamviewer
34. ПК Лира
15. Adobe PhotoShop
35. Панорама ГИС Карта
16. Open Office
36. СИТИС: Солярис.
17. CorelDraw
37. Госстройсмета
18. VMware Player
38. Гранд - Смета
19. Fine Reader
39. ДЕЛО - предприятие
20. Rhinoceros
Все ПК университета подключены к локальной сети и имеют доступ в
Интернет, через защищенное соединение. Узлы оптических линий оборудованы
управляемыми коммутаторами. Для предоставления постоянного доступа в
16
Интернет система оборудована связью с двумя провайдерами, которые
предоставляют каналы на скорости 20 Мбит/сек и 10 Мбит/сек. При попытке
загрузки
информации,
не
связанной
с
учебным
процессом,
трафик
пользователей становится ограниченным. На программном уровне защиты
используются различные для студентов и сотрудников домены.
Для
передачи
пакетов
между
сегментами
сети
используется
маршрутизатор MicroTic, который позволяет распределить нагрузку без потери
данных. Через него проходят пакеты глобальной сети, сайты удаленного
пользователя и пакеты системы NauDoc.
Сетевая структура оборудована одиннадцатью физическими серверами,
четыре из которых являются станциями виртуальных машин. На этих
элементах сети установлены информационно-справочные материалы, серверы
баз данных, а также почтовые серверы и сайты. В учреждении организованы 14
виртуальных серверов, имеющих выход в глобальную сеть. Основной сервер,
пропускающий всю информацию - Nginx. Nginx – это веб-сервер, почтовый
прокси-сервер и TCP прокси-сервер. Этот сервер получает входящие данные по
80 порту, а уже после направляет их по нужным серверам (Ubuntu, Suse,
CentOS, Win2008_IIS, Win7). Структура сети университета представлена на
рисунке 2.
Рисунок 2. Структура сети ФГБОУ ВПО «Нижегородский государственный
архитектурно-строительный университет»
17
Демилитаризованная зона, компьютерные классы, ViPNet и сам университет
каждый из этих элементов включены в отдельные виртуальные локальные сети
(VLAN), что позволяет уменьшить нагрузку на сетевые устройства (трафик
одного домена не проходит в другой домен). Также такая технология дает
возможность исключить несанкционированный доступ, т.к. коммутатор
отсекает пакеты других виртуальных сетей.
Так
как
учреждение пользуется
услугами
двух
провайдеров, есть
необходимость безотказной работы Интернета при переходе с основного канала
на резервный. В качестве кэширующего прокси - сервера используется
программный пакет Squid. Основные задачи Squid в рамках данного
учреждения:
– При посещении одних и тех же сайтов, они кэшируются, и часть данных
идет напрямую с сервера;
– Возможность отслеживания системным администратором посещаемых
сайтов и загружаемых файлов;
– Блокировка определенных сайтов;
– Распределение нагрузки между каналами;
В качестве другого брандмауэра в учреждении используется Microsoft
Forefront Threat Management Gateway. В комплексе Microsoft Forefront дает
высокий уровень защищенности и позволяет управлять безопасностью сетевой
структуры. В частности Microsoft Forefront TMG – это прокси-сервер, который
позволяет защитить от внешних атак, контролировать трафик и принимать и
направлять входящие пакеты.
Для взаимодействия с Министерством Образования и Науки РФ в
учреждении используется технология ViPNet. ViPNet обеспечивает защиту в
крупных
сетях
и
создает
защищенную
среду
передачи
информации
ограниченного доступа, используя публичные каналы связи, посредством
реализации виртуальной частной сети (VPN).
18
В современной корпоративной инфраструктуре есть необходимость в
централизованном управлении и аппаратной виртуализации локальной сети. С
этой целью в университете используется система Microsoft Hyper-V, который
позволяет системному администратору, в рамках корпоративной системы,
решить несколько задач:
– повышение уровня безопасности;
– защита информационных ресурсов;
– централизованное хранилище данных;
– масштабируемость;
1.3. Анализ информационных потоков
Информационные ресурсы университета циркулируют как внутри
системы,
так
упорядочивания
и
по
внешним
информации
каналам.
Для
университет
обеспечения
использует
защиты
и
современные
информационные системы разнообразной направленности.
Наиболее значительной и масштабной является Tandem e – Learning –
комплексная информационная система, которая дает возможность мониторинга
очного образования и реализует дистанционное образование, как один из
модернизированных подходов электронного обучения. Tandem e – Learning –
это закрытый образовательный портал, доступ к которому имеют сотрудники и
студенты университета, пройдя процедуру регистрации. Доступ к системе
возможен как с внутренних компьютеров, так и с внешних устройств.
Другая система дистанционного обучения – Moodle. Этот портал также
закрытый и требует регистрации. Так же как и Tandem, к системе Moodle
возможен доступ с внешних устройств.
Оба портала построены на основе системы управления образованием
(LMS). LMS позволяет управлять и распространять учебный материал и
обеспечивать совместный доступ.
19
Корпоративная информационная система реализована через систему
Tandem University.Данный портал содержит информацию об учебном процессе.
Доступ к системе Tandem имеют студенты, персонал и высшее руководство.
Защита данной системы обеспечена тем, что она изолирована и не имеет
выхода в локальную сеть. Все ресурсы корпоративной сети располагаются на
четырех серверах, два из которых содержат базу данных и главный портал и
два тестовых сервера.
Документооборот в университете происходит через систему NauDoc. Это
облачная система документооборота для регистрации, обработки и учета
документов внутри учреждения. Доступ к системе имеет канцелярия
университета, филиалы и входящие организации.
Контент интернет – сайта ВУЗа контролируется профессиональной
системой управления 1С – Битрикс. Преимущество данной системы в том, что
она способна повысить скорость ответа сайта.
Бухгалтерия
обслуживается
через
автоматизированную
систему
обработки «ПАРУС - Бухгалтерия». Данный программный пакет позволяет
полностью автоматизировать учет активов, расчетов и средств. Как и
корпоративная система Tandem University, «ПАРУС – Бухгалтерия» является
изолированной, и доступ к ней имеют только сотрудники бухгалтерского
отдела.
Библиотека университета тоже автоматизирована и контролируется через
информационно – библиотечную систему MARK – SQL. Данная система
содержит большое количество информационных ресурсов, в том числе
информационный каталог, который хранится на отдельном Windows сервере.
Также часть ресурсов содержится в следующих информационных
системах:
– Консультант+ (справочно – правовая система);
20
– ТехЭксперт (информационно – справочная система, содержащая
нормативно – правовую и техническую информацию в сфере
«Бизнес для бизнеса»);
– Norma CS (справочная система поиска и использования стандартов
и нормативных документов в конструкторской деятельности);
– OTRS (система обработки заявок);
– RedMine (внутренняя база данных);
– АИСТ (кадровый сервис);
1.4. Анализ информационных ресурсов
Информационная система ФГБОУ ВПО «Нижегородский государственный
архитектурно-строительный университет» содержит огромное количество
информационных ресурсов (базы данных, документация, персональные данные,
архив, библиотеки), которые, в свою очередь, являются основным объектом
защиты. Целесообразно ввести несколько уровней конфиденциальности
информации:
 Информация ограниченного доступа:
– Служебная тайна - информация, содержащая сведения о финансах,
производстве, управлении и других видах деятельности субъекта,
разглашение которой может нанести экономический ущерб;
– Профессиональная тайна - сведения, содержащие организацию
учебной деятельности и процессов.
– Персональные данные – любая информация, содержащая сведения
о конкретном лице (сведения о студентах, преподавателях и др.);
 Информация общего доступа:
– Постановления, указы, распоряжения;
– Информация,
содержащая
статистические
сведения
образовательной деятельности;
– Информация, доступ к которой не ограничен законом и уставом;
21
об
1.5. Физическая безопасность объектов (охрана)
На территории учреждения ведется круглосуточное наблюдение через
пост
охраны.
Вход
на
территорию
университета
осуществляется
по
персональным пропускам. Посетители имеют право прибывать на территории
только в сопровождении сотрудника учреждения. В университете осуществлена
пожарно – охранная сигнализация и установлены соответствующие датчики.
Аппаратные средства хранения информации (сервера) располагаются в
отдельном помещении. Мониторинг объекта осуществляется через систему
видеонаблюдения.
К основным объектам защиты можно отнести:
– серверы баз данных;
– станция управления учетными записями;
– ftp и www – серверы;
– ЛВС бухгалтерии и др.;
– Данные архивов, финансового, статистического и учебного отделов;
– Внешние и внутренние информационные ресурсы;
22
2. АНАЛИЗ И РАЗРАБОТКА МОДЕЛИ УГРОЗ
2.1. Классификация и анализ источников угроз и уязвимостей
безопасности
В информационной безопасности под угрозой понимают потенциальное
событие или действие, которое может повлиять на работу компьютерной сети и
ведет
к сбою систему безопасности. При воздействии на ресурсы угрозы
приводят к несанкционированному доступу, искажению, распространению
защищенных данных. Целесообразно разделить источники угроз на следующие
группы:
– антропогенные угрозы (случайные ошибки разработки и эксплуатации
составных
частей
системы
безопасности,
умышленные
действия
нарушителя);
– техногенные угрозы (отказы и сбои технического оборудования);
– стихийные угрозы (угрозы безопасности естественного характера);
В таблице 2 представлена классификация и возможные угрозы, характерные
для учреждения.
Таблица 2. Классификация источников угроз
Антропогенные источники угроз
Внутренние
Внешние
Лица, имеющие санкционированный доступ Потенциальные хакеры
к объектам безопасности (руководство,
преподаватели, студенты)
Представители управления по безопасности Поставщики
и режиму
информационных
услуг
аварийных
и
(провайдеры,
Представители
управления Представители
информатизации (администратор системы, инспекционных служб
разработчики)
Технический и вспомогательный персонал
(уборщики,
электрики,
Недобросовестные партнеры
сантехники,
плотники)
23
Техногенные источники угроз
Внутренние
Некачественные
аппаратные
Внешние
средства Средства
связи
(каналы
передачи
обработки информации
информации)
Отказ и сбой средств хранения информации
Структура инженерных коммуникаций
Незащищенные
средства
передачи Вредоносное программное обеспечение и
информации
Сбои
в
вирусы
работе
средств
обеспечения
безопасности
Стихийные источники угроз характеризуются непреодолимой силой и
распространяются на все объекты безопасности. Такие угрозы сложно
спрогнозировать и предотвратить. Основными стихийными источниками угроз
являются: пожары, наводнения, ураганы и непредвиденные обстоятельства.
Защитные
меры
относительно
стихийных
угроз
должны
выполняться
постоянно.
Относительно вышеперечисленных угроз наиболее вероятными и
опасными являются непреднамеренные действия внутренних пользователей и
лиц, имеющих непосредственное отношение к компьютерной сети.
Самыми частыми и самыми опасными (с точки зрения размера ущерба)
являются непреднамеренные ошибки штатных пользователей, операторов,
системных администраторов и других лиц, обслуживающих компьютерную
сеть. Антропогенные угрозы являются наиболее вероятными, так как есть
возможность спрогнозировать действия людей и принять соответствующие
контрмеры, которые в свою очередь зависят от действий лиц, ответственных за
обеспечение информационной безопасности.
Угрозы, как правило, являются следствием уязвимостей, которые в свою
очередь приводят к нарушению безопасности. Уязвимость – это недостаток
системы, который позволяет успешно реализовать угрозу и нарушить
целостность системы. Уязвимости могут возникнуть по нескольким причинам:
24
– ошибки при создании программно обеспечения (ПО);
– умышленное внесение уязвимостей на стадии проектирования ПО;
– несанкционированное использование вредоносных программ и, как
следствие, неосновательное расходование ресурсов;
– непреднамеренные действия пользователей;
– нарушение в работе программно-аппаратного обеспечения;
Существуют следующие уязвимости:
 Объективные (уязвимости, зависящие от технического оборудования
информационной системы):
– Аппаратные закладки (закладки техническом и периферийном
оборудовании);
– Программные закладки (вредоносное ПО);
 Субъективные (уязвимости, зависящие от действий людей):
– Ошибки (неправильная эксплуатация программных и аппаратных
средств пользователями, ошибочный ввод данных);
– Нарушения (нарушение правил политики информационной
безопасности,
нарушение
конфиденциальности,
режима
нарушение
доступа
эксплуатации
и
аппаратных
средств);
 Случайные
(уязвимости,
обусловленные
окружающей
информационную систему среды)
– Отказы (отказ средств обработки данных, отказ средств сети,
отказ
системы
контроля
и
охраны,
отказ
программного
обеспечения);
– Сбои (перебои электроснабжения);
– Повреждения (поломка инженерных коммуникаций);
25
Ослабление
или
ликвидация
уязвимостей
оказывает
влияние
на
вероятность осуществления угроз информационной безопасности.11
2.2. Модель нарушителя
защиты
информационных
активов
Обеспечение
университета
специфично, так как это учреждение с непостоянной аудиторией. По причине
того, что атаки могут исходить от любых субъектов, целесообразно разделить
на две категории: внешние нарушители и внутренние нарушители. Внешним
нарушителем является лицо, которое не является сотрудником и не имеет
доступа к информационной системе. В эту категорию входят:
– хакеры (субъекты, создающие и реализующие атаки, с целью нанесения
ущерба и овладения информацией ограниченного доступа): посредством
несанкционированного доступа к информационным системам может
уничтожить
программ
или
и
изменить
вирусов,
информацию;
аппаратных
и
внедрение
программных
вредоносных
закладок
с
последующим осуществлением несанкционированного доступа);
– провайдеры, и поставщики технического и программного обеспечения
(осуществление несанкционированного доступа через рабочие станции к
информационным ресурсам и к каналам связи);
Все остальные субъекты – внутренние нарушители. В соответствии с
руководящим документом ФСТЭК «Базовая модель угроз безопасности
персональных данных при их обработке в информационных системах
персональных данных» внутренние нарушители подразделяются на восемь
категорий:
1. Лица, имеющие санкционированный доступ к ИСПДн, но не имеющие
доступа к ПДн.
Применительно к данному учреждению такими правами обладает
руководство, управление информатизации. В соответствии с правами эти
11
Руководящий документ ФСТЭК «Базовая модель угроз безопасность персональных данных при обработке в
информационных системах персональных данных»
26
лица могут: иметь доступ к некоторым частям ПДн, которые циркулирует
по внутренним каналам; знать информацию о топологии ИСПДн,
коммуникационных протоколах и сервисах; выявлять имена и пароли
зарегистрированных пользователей; изменять конфигурацию аппаратных
и программных средств.
2. Зарегистрированные
пользователи
ИСПДн,
осуществляющие
ограниченный доступ к ресурсам ИСПДн с рабочего места.
К
этой
категории
можно
отнести
сотрудников
управлений,
преподавателей и студентов учреждения. Лица данной категории: имеют
один
идентификатор
и
пароль;
располагают
конфиденциальными
данными, к которым имеют санкционированный доступ.
3. Зарегистрированные пользователи ИСПДн, осуществляющие удаленный
доступ к ПДн по локальным и (или) распределенным информационным
системам.
Лица данной категории: знают топологию ИСПДн и о составе
технических
средств;
имеют
физический
доступ
к
некоторым
техническим средствам ИСПДн.
4. Зарегистрированные
пользователи
ИСПДн
с
полномочиями
администратора безопасности сегмента ИСПДн.
Лица этой категории: располагают информацией о программном
обеспечении, технических средствах, используемых в данном сегменте;
имеет доступ к средствам защиты и протоколирования и к аппаратным
средствам ИСПДн.
5. Зарегистрированные
пользователи
с
полномочиями
системного
администратора ИСПДн.
Лица этой категории: знает информацию о программном и аппаратном
обеспечении полной ИСПДн; имеет физический доступ ко всем
аппаратным средствам; имеет право конфигурировать аппаратное
обеспечение.
27
6. Зарегистрированные пользователи с полномочиями администратора
безопасности ИСПДн.
Лица этой категории: располагает всей информацией об ИСПДн; имеет
доступ к средствам защиты и протоколирования данных.
7. Программисты – разработчики программного обеспечения и лица,
сопровождающие его на данном объекте.
Лица данной категории: знают информацию о процедурах и программах
обработки данных на ИСПДн; может вносить ошибки, программные
закладки и вредоносный код на стадии разработки; может знать
информацию о топологии и аппаратных средствах ИСПДн.
8. Разработчики и лица, обеспечивающие поставку, сопровождение и
ремонт аппаратных средств на ИСПДн.
Лица данной категории: может внедрять аппаратные закладки на стадии
разработки и сопровождения; может знать информацию о топологии и
аппаратных средствах ИСПДн.12
Применительно к данному учреждению к внутренним нарушителям
можно отнести:
– пользователи информационных ресурсов
отделов
и
других
подразделений,
(персонал управлений,
преподаватели,
студенты)
(непреднамеренная модификация или уничтожение данных; установка
вредоносного и несертифицированного программного обеспечения;
передача индивидуального пароля посторонним лицам);
– лица, обслуживающие и поддерживающие информационную систему
(случайное или преднамеренное неправильное конфигурирование
технических или сетевых средств);
– другие лица, имеющие доступ к объектам обработки информации
(технический
12
и
обслуживающий
персонал)
(непреднамеренное
Руководящий документ ФСТЭК «Базовая модель угроз безопасность персональных данных при обработке в
информационных системах персональных данных»
28
нарушение
работоспособности
средств
электрообеспечения
и
инженерных сооружений);
Особая и наиболее значительная категория нарушителей – студенты. На
сегодняшний день многие из них достаточно хорошо подготовлены и
разбираются в киберпространстве. Путем некоторых манипуляций студенты в
состоянии произвести ряд нарушений безопасности и нанести ущерб.
2.3. Определение актуальных угроз информационной системы
Для определения актуальных угроз безопасности, необходимо учитывать
два значения. Первый показатель – это уровень исходной защищенности
информационной системы. Это обобщенный показатель, который зависит от
технических характеристик системы. В таблице 4 представлен расчет исходной
защищенности информационной системы, который определяется процентным
соотношением отдельного уровня защищенности ко всем имеющимся
показателям защищенности.
Таблица 4. Расчет исходной защищенности учреждения
Средний
Низкий
Уровень защищенности
Высокий
Показатели защищенности
распределенная ИСПДн, которая охватывает несколько
областей, краев, округов или государство в целом;
–
–
+
городская ИСПДн, охватывающая не более одного
населенного пункта (города, поселка);
–
–
+
корпоративная распределенная ИСПДн, охватывающая
многие подразделения одной организации;
–
+
–
локальная (кампусная) ИСПДн, развернутая в пределах
нескольких близко расположенных зданий;
–
+
–
локальная ИСПДн, развернутая в пределах одного здания
+
–
–
–
–
+
Технические и эксплуатационные характеристики ИСПДн
По территориальному размещению:
По наличию соединения с сетями общего пользования:
ИСПДн, имеющая многоточечный выход в сеть общего
пользования;
29
Средний
Низкий
Уровень защищенности
Высокий
Показатели защищенности
ИСПДн, имеющая одноточечный выход в сеть общего
пользования;
–
+
–
ИСПДн, физически отделенная от сети общего пользования
+
–
–
чтение, поиск;
+
–
–
запись, удаление, сортировка;
–
+
–
модификация, передача
–
–
+
ИСПДн, к которой имеют доступ определенные
перечнем сотрудники организации, являющейся
владельцем ИСПДн, либо субъект ПДн;
–
+
–
ИСПДн, к которой имеют доступ все сотрудники
организации, являющейся владельцем ИСПДн;
–
–
+
ИСПДн с открытым доступом
–
–
+
–
–
+
+
–
–
+
–
–
–
+
–
–
–
+
Технические и эксплуатационные характеристики ИСПДн
По встроенным (легальным) операциям с записями баз
персональных данных:
По разграничению доступа к персональным данным:
По наличию соединений с другими базами ПДн иных ИСПДн:
интегрированная ИСПДн (организация использует
несколько баз ПДн ИСПДн, при этом организация не
является владельцем всех используемых баз ПДн);
ИСПДн, в которой используется одна база ПДн,
принадлежащая организации – владельцу данной ИСПДн
По уровню обобщения (обезличивания) ПДн:
ИСПДн, в которой предоставляемые пользователю
данные являются обезличенными (на уровне
организации, отрасли, области, региона и т.д.);
ИСПДн, в которой данные обезличиваются только при
передаче в другие организации и не обезличены при
предоставлении пользователю в организации;
ИСПДн, в которой предоставляемые пользователю
данные не являются обезличенными (т.е. присутствует
информация, позволяющая идентифицировать субъекта
ПДн)
По объему ПДн, которые предоставляются сторонним пользователям
ИСПДн без предварительной обработки:
30
Средний
Низкий
Уровень защищенности
Высокий
Показатели защищенности
ИСПДн, предоставляющая всю базу данных с ПДн;
–
–
+
ИСПДн, предоставляющая часть ПДн;
–
+
–
ИСПДн, не предоставляющая никакой информации.
+
–
–
28%
71%
0%
Технические и эксплуатационные характеристики ИСПДн
Количество решений
По результатам анализа можно сделать вывод, что ИСПДн учреждения
имеет средний уровень защищенности. В соответствии с полученным
результатом вводится коэффициент Y1 = 5. Этот коэффициент является первым
параметром при определении актуальности угроз.
Следующий параметр – вероятность осуществления угрозы (Y2). Этот
показатель определяется экспертным путем и имеет четыре возможных
значения:
– маловероятно (отсутствие объективных предпосылок реализации
угрозы - 0);
– низкая вероятность (явные предпосылки осуществления угрозы
существуют, но существующие средства защиты затрудняют её
реализацию - 2);
– средняя вероятность (существуют предпосылки реализации угроз, и
исходные методы защиты недостаточны - 5);
– высокая вероятность (существуют объективные предпосылки
осуществления угроз и меры по обеспечению безопасности не
предприняты - 10);
На основании полученных параметров рассчитывается коэффициент
реализации угрозы Y, который определяется по формуле Y = (Y1+Y2)/20. В
соответствии с полученным результатом, Y принимает следующие значения:
31
– 0 < Y < 0,3 – низкая реализуемость угрозы;
– 0,3 < Y < 0,6 – средняя реализуемость угрозы;
– 0,6 < Y < 0,8 – высокая реализуемость угрозы;
– Y > 0,8 – очень высокая реализуемость угрозы;
Следующим шагом является оценка опасности угрозы. Эта оценка дается
специалистом безопасности и имеет следующие значения опасности:
– низкая
опасность
–
осуществление
угрозы
может
нанести
несущественный ущерб;
– средняя опасность – осуществление угрозы может нанести ущерб;
– высокая опасность – осуществление угрозы может нанести
значительный ущерб;
В таблице 5 представлена матрица расчета актуальности угроз, которая
получается в результате учета всех вышеизложенных показателей.
– «+» - угроза актуальная;
– «-» - угроза неактуальная;13
Таблица 5. Матрица расчета актуальности угроз
Значение
реализуемости угрозы
Значение опасности угрозы
Низкая
Средняя
Высокая
Низкая
-
-
+
Средняя
-
+
+
Высокая
+
+
+
Очень высокая
+
+
+
В результате анализа исходной защищенности учреждения и матрицы
актуальности угроз были определены угрозы, характерные для данного
учреждения, и их актуальность по следующему плану: угроза (вероятность
13
Руководящий документ ФСТЭК «Методика определения актуальных угроз безопасности персональных
данных при обработке в информационных системах персональных данных»
32
осуществления угрозы; реализуемость угрозы; оценка опасности угрозы) –
актуальная/неактуальная.
1. Несанкционированный доступ на территорию учреждения, к
аппаратным объектам, документации (низкая вероятность (2);
средняя реализуемость (0,35); высокая опасность) – актуальная;
2. Хищение или порча оборудования автоматизированной системы
(маловероятно(0); низкая реализуемость (0,25); высокая опасность)
– актуальная;
3. Неумышленное уничтожение и модификация информации (средняя
вероятность(5); средняя реализуемость(0,5); высокая опасность) –
актуальная;
4. Кража бумажных информационных ресурсов (маловероятно (0);
низкая реализуемость (0,25); средняя опасность) – неактуальная;
5. Утечка конфиденциальных данных через мобильные девайсы и
ноутбуки (маловероятно (0); низкая реализуемость (0,5); средняя
опасность) – неактуальная;
6. Непреднамеренное превышение прав использования оборудования
по
причине
отсутствия
соответствующих
знаний
(средняя
вероятность (5); средняя реализуемость (0,5); средняя опасность) –
актуальная;
7. Перехват передаваемой информации путем сканирования сетевого
трафика (низкая вероятность(2); средняя реализуемость (0,35);
высокая опасность) – актуальная;
8. Установка
посторонних
вредоносных
программ
(низкая
вероятность (2); средняя реализуемость (0,35); средняя опасность) –
актуальная;
9. Изменение конфигурации программных компонентов (средняя
вероятность (5); средняя реализуемость (0,5); высокая опасность) актуальная;
33
10.Уничтожение
или
изменение
регистрационных
данных
пользователей (маловероятно (0); низкая реализуемость (0,25);
низкая опасность) - неактуальная;
11.Непреднамеренное
раскрытие
конфиденциальной
информации
сотрудниками (высокая вероятность (10); высокая реализуемость
(0,75); высокая опасность) – актуальная;
12.Различного
рода
излучения,
которые
могут
повлиять
на
работоспособность технических средств (маловероятно (0); низкая
реализуемость (0,25); средняя опасность) – неактуальная;
13.Отказ и сбой сетевого оборудования (средняя вероятность (5);
средняя реализуемость (0,5); средняя опасность) – актуальная;
14.Уничтожение данных по причине ошибок или сбоя аппаратного и
программного обеспечения (средняя вероятность (5); средняя
реализуемость (0,5); высокая опасность) – актуальная;
15.Программные
закладки
(низкая
вероятность
(2);
средняя
реализуемость (0,35); средняя опасность) – актуальная;
16.Использование чужих регистрационных данных для входа в
информационные службы (средняя вероятность (2); средняя
реализуемость (0,35); высокая опасность) – актуальная;
17.Нарушение режимных и охранных мер (низкая вероятность (2);
средняя реализуемость (0,35); средний ущерб) – актуальная;
Проанализировав актуальные угрозы, можно сделать вывод, что все они
устраняемые посредством технических и организационных мер. В таблице 6
представлены меры борьбы с актуальными угрозами, которые могут быть
использованы в университете для защиты данных.
34
Таблица 6. Методы борьбы с актуальными угрозами
Актуальная угроза
Технические меры борьбы с
угрозой
Организационные меры
борьбы с угрозой
Несанкционированный доступ к
аппаратным объектам с
возможностью хищения или
порчи оборудования
-охранная сигнализация и
видеонаблюдение;
- охранно – пропускной
режим;
- кодовый замок – блокиратор на
вход в помещение с серверами;
- контроль средств обработки
информации;
Неумышленное уничтожение
или модификация информации
сотрудниками
- использование средств защиты и
резервного копирования данных;
- Инструктаж сотрудников;
Непреднамеренное превышение
прав использования
оборудования по причине
отсутствия соответствующих
знаний
- использование средств защиты
от несанкционированного
доступа;
- инструктаж сотрудников;
Перехват сетевого трафика
- шифрование данных;
- инструктаж администратора
безопасности;
- использование межсетевого
экрана;
- учет средств защиты
данных;
- использование средств
антивирусной защиты;
- инструктаж сотрудников;
Установка вредоносного ПО и
изменение конфигурации ПО
Непреднамеренное раскрытие
конфиденциальной информации
сотрудниками
Отказ и сбой сетевого
оборудования с последующим
уничтожением информации
- разграничение прав доступа;
-инструктаж администратора
безопасности;
- инструктаж сотрудников;
- составление акта о
неразглашении;
-использование источников
бесперебойного писания;
- инструктаж системного
администратора;
-использование
сертифицированного аппаратного
и программного обеспечения;
-резервное копирование данных;
Программные закладки
- использование
сертифицированного ПО;
- использование средств
антивирусной защиты;
Использование чужих
регистрационных данных для
входа в информационные
службы
- инструктаж сотрудников;
-инструктаж
администратора;
-инструктаж сотрудников;
-инструктаж
администратора
безопасности;
Методы борьбы с угрозами, указанные в таблице, будут учтены и
использованы при разработке политики безопасности университета.
35
2.4. Определение класса защищенности информационной системы
Для разработки эффективной системы безопасности учреждения
необходимо определить класс защищенности исходной системы. Для этого был
проведен анализ информационной системы и получены следующие результаты:
– Система
обрабатывает
информацию
разных
уровней
конфиденциальности;
– В системе обрабатываются данные с грифом «секретно»;
– Информационная система является многопользовательской;
– Права доступа пользователей к данным разграничены;
Проанализировав полученные результаты, можно сделать вывод, что
информационная система относится к классу защищенности 1В. На основании
этого в соответствии с Руководящим документом «Автоматизированные
системы.
Защита
Классификация
от
несанкционированного
автоматизированных
систем
доступа
и
к
требования
информации.
по
защите
информации» в приложении 1 представлены требования к системе.14
Руководящий документ Гостехкомиссии РФ «Автоматизированные системы. Защита от
несанкционированного доступа к информации. Классификация автоматизированных систем и требования по
защите информации»
14
36
3. РАЗРАБОТКА МОДЕЛИ СИСТЕМЫ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
3.1. Анализ на соответствие стандартам и существующим политикам
Проанализировав актуальные стандарты и «лучшие практики» в сфере
информационной безопасности и сопоставив полученные результаты с
системой
безопасности
развернутой
в
ФГБОУ
ВПО
«Нижегородский
государственный архитектурно-строительный университет», можно сказать,
что существующая система со средней защищенностью персональных данных в
целом соответствует требованиям и нормативных документов, но в частности
имеет некоторые пробелы.
Исходная информационная система имеет достаточно высокую защиту со
стороны программно – аппаратного обеспечения. В системе хорошо
организованы процедуры авторизации и доступа. Также система защищена от
вирусных
атак
и
постоянно
контролируется.
Технические
средства,
обеспечивающие циркуляцию информации, хорошо охраняются. Однако
существуют и некоторые пробелы, которые необходимо заполнить.
При значительной аппаратно – программной защите, организационные
методы практически отсутствуют. Хотя, в соответствии с ГОСТ Р ИСО/МЭК
17799 – 2005, организационные средства должны обеспечивать защиту в той же
мере, что и технические.15 Лидеры информационных технологий рекомендуют
включать в политику информационной безопасности организационную защиту:
расширение знаний сотрудников в области информационной безопасности,
реагирование на инциденты и нарушения и др.
В соответствии полученными данными, необходимо усовершенствовать
исходную систему безопасности будем внедрения некоторых аппаратно –
программных средств и введения такого понятия как «организационные методы
защиты».
15
ГОСТ Р ИСО/МЭК 17799 - 2005
37
3.2. Разработка политики информационной безопасности
1. Общие сведения
1.1 Наименование
Система
информационной
«Нижегородский
безопасности
государственный
ФГБОУ
ВПО
архитектурно-строительный
университет»
2. Цели и назначение проектирования системы
2.1 Цели проектирования системы
– Обеспечение защиты
субъектов информационной системы
университета от несанкционированного доступа
внешних
нарушителей;
– Разделение
пользователей
информационной
системы
университета и присвоение им соответствующих прав доступа и
действий;
– Обеспечение
защиты
от
модификации
и
уничтожения
конфиденциальной информации соответствующих управлений;
– Расширение теоретических знаний сотрудников университета в
области информационной безопасности с целью минимизации
антропогенных угроз;
– Своевременное определение угроз безопасности объектам и
субъектам
информационной
системы
университета,
их
ликвидация и реализация плана действий при возникновению
последующих угроз;
– Обеспечение постоянного контроля режима безопасности
информационной
непрерывного
системы,
доступа
к
с
целью
информационным
университета для поддержания деятельности;
– Реализация мер защиты от вирусных атак;
38
предоставления
службам
– Разработка
и
последующие
сохранение
условий
для
минимизации нарушений и ущерба системе информационной
безопасности университета.
2.2 Назначение проектируемой системы
Проектируемая
система
информационной
безопасности
разрабатывается с целью обеспечения комплексной защиты объектов
информационной
системы
университета,
посредством
усовершенствования исходной системы. Проектируемая политика
соответствует нормативным актам и требованиям.
3. Характеристики объекта защиты
ФГБОУ
ВПО
«Нижегородский
государственный
архитектурно-
строительный университет» является государственным учреждением с
распределенной многопользовательской структурой
с разграничением
доступа к информационным службам.
4. Требования к системе
Система должна соответствовать стандартам и нормативным документам
в области информационной безопасности и обеспечивать защиту на:
– Организационном уровне;
– Программном уровне;
– Техническом уровне.
5. Объекты защиты
5.1 Перечень информационных порталов
Данный перечень разрабатывается на основании обследования
информационной системы университета.
5.2 Перечень физических объектов защиты:
– Рабочая станция администратора системы;
– Серверы баз данных;
– Обрабатываемые
данные
управлений
университета,
подлежащие для публичного доступа;
– Программные и аппаратные средства обработки информации;
39
не
– Действующая система защиты;
– Каналы обмена данными;
– Локальные вычислительные сети.
6. Классификация пользователей системы информационной безопасности
Пользователь – лицо, использующее информационную систему и
результаты её работы. Все выделенные пользователи имеют доступ к
ресурсам информационной системы в соответствии с определенными
правилами и обязанностями. Пользователей учреждения можно разделить
на:
– Руководство – сотрудники университета, обеспечивающие
выполнение правил и принципов существующей политики
информационной безопасности;
– Администратор информационной системы – сотрудники
университета,
конфигурирующие,
дополнительные
модули
и
внедряющие
контролирующие
информационную систему;
– Администратор информационной безопасности – сотрудники
университета,
обеспечивающие
целостность
ресурсов,
циркулирующих в информационной системе;
– Пользователи информационной системы – лица университета
(персонал
управлений,
преподаватели
и
сотрудники),
эксплуатирующие информационную систему и имеющие
идентификационные данные для доступа к разрешенным
данным.
7. Требования к функционалу в соответствии с классом защищенности
7.1 Подсистема управления доступом
– Должны
быть
реализованы
механизмы
аутентификации
пользователя при попытке входа в информационные службы;
– Основные атрибуты пользователя: идентификатор, профиль и
управление/отдел/подразделение;
40
– Основные права доступа: чтение, запись, выполнение;
– Атрибуты пользователя не должны распространяться;
– Права доступа имеют только авторизованные пользователи;
– Пользователи имеют доступ к рабочим станциям в соответствии
с регламентом учреждения;
– Управление потоками данных осуществляется в соответствии с
грифом конфиденциальности данных.
7.2 Подсистема обеспечения целостности
Должно
обеспечиваться
состояние
неизменности
серверов,
системного и программного обеспечения. В качестве средств
обеспечения целостности данных можно выделить:
– Авторизация и аутентификация пользователей информационной
системы с целью обеспечения безопасности данных;
– Шифрование (повышает уровень защиты данных, но усложняет
процесс разграничения доступа);
– Проведение
аудита
позволяет
постоянно
контролировать
объекты информационной системы;
– Средства резервного копирования позволяют восстановить
данные в результате сбоя или отказа технических средств;
– Фильтрация входных данных с целью выявления SQL –
инъекции с шифрованием паролей;
– Физическая безопасность (контроль территории, пропускной
режим, контроль помещений с техническими средствами
системы);
Все меры безопасности должны проводиться под руководством
администратора безопасности.16
Редишев М. В., Трефилов В. В. «Средства и методы обеспечения конфиденциальности и целостности данных
в СУБД»
16
41
7.3 Подсистема регистрации и учета
Обеспечивает регистрацию входа/выхода субъектов доступа в
систему/из системы; Осуществление контроля над исполняемыми
программами и процессами, функционирующими с защищенными
данными; регистрация попыток доступа к программным средствам.
Основными параметрами являются:
– Дата и время;
– Наименование программы, к который запрашивается доступ;
– Результат действия (успешный/неуспешный);
– Ключ, идентифицирующий субъект во время доступа.
8. Требования к организационному обеспечению
8.1 В соответствии с выявленными угрозами, необходимо провести ряд
организационных мер, направленных на расширение знаний персонала в
области информационных технологий. Работа с сотрудниками:
– при получении прав для доступа к информационной системе
персонал должен получить от администратора информацию о
методах и средствах защиты;
– если сотрудник университета не обладает знаниями принципов и
средств защиты информации, он не имеет доступа к системе;
– инструкция
доступа
к
объектам
и
допуска
к
ресурсам
информационной системы университета;
– введение средств дистанционного обучения персонала;
– изучение угроз, связанных с действиями сотрудников;
– информирование
сотрудников
управлений/отделов
о
запрете
разглашения конфиденциальной информации, циркулирующей в
соответствующем управлении/отделе;
– информирование сотрудников о запрете разглашения и передачи
идентификационных
данных
пользователя
служебным системам другим лицам;
42
для
доступа
к
– соблюдение пользователем правил доступа к информационной
системе университета;
– определение
ответственность
за
нарушение
политики
информационной безопасности университета.
8.2 Фиксирование происшествий:
– программными или иными способами оперативное выявление
происшествия;
– устранение источника угрозы;
– определение
контрмер
и
их
последующая
реализация
при
согласовании с системным администратором и администратором
информационной безопасности университета;
– анализ ущерба, причиненного реализованной угрозой;
– анализ угрозы и создание плана действий, которые в последующем
позволят избежать данной угрозы.
9. Требования к физической и технической защите
9.1 Физическая защита реализуется с использованием средств контроля
(видеонаблюдение, сигнализация) и специальных устройств, которые
способны предотвратить несанкционированный доступ внешний
нарушителей к объектам системы безопасности университета;
9.2 Каждый корпус университета должен быть оборудован постом
охраны;
9.3 Доступ на территорию университета осуществляется по специальным
магнитным пропускам;
9.4 Доступ
к
ресурсам
информационной
системы
университета
осуществляется посредством ввода уникальных идентификационных
данных (логин, пароль);
9.5 Идентификационные
администратором
данные
безопасности
последующей смены пароля;
43
пользователя
университета,
с
выдаются
возможностью
9.6 Хранение паролей в базе информационной системы университета
производится только в хешированном виде;
9.7 В случае увольнения сотрудника или отчисления студента из
университета,
его
пропуск
становится
неактивным
(размагничивается), а идентификационные данные удаляются из базы;
9.8 Система безопасности должна отслеживать действия пользователей и
записывать в журнал.
10.Требования к аппаратно – программному обеспечению
10.1 Внедрение нового программного и аппаратного обеспечения в
информационную систему университета возможно только после его
тестирования;
10.2 Количество лицензий продукта должно совпадать с количеством
рабочих станций университета, на которых будет использоваться
данное обеспечение;
10.3 Конфигурация программного обеспечения может осуществляться
только системным администратором университета;
10.4 Установка
недопустимо
и
без
использование
разрешения
программного
администратора
обеспечения
университета
и
проведения тестирования;
10.5 Каждая рабочая станция должна иметь программу антивирусной
защиты;
10.6 Внешние и съемные накопители перед запуском должны быть
проверены на наличие вирусов;
10.7 Автоматическая
реакция
антивирусного
обеспечения
на
обнаружение вируса;
10.8 В соответствии с классом защищенности информационной системы
университета, межсетевые экраны должны быть не ниже третьего
класса;
10.9 Использование нелицензированного обеспечения не допускается;
44
10.10 Аппаратное обеспечение сети должно находиться в отдельном
помещении с ограниченным доступом;
10.11 Для
обеспечения
предприятия
должно
защиты
информационной
использоваться
актуальные
безопасности
программные
продукты лидеров в сфере информационной безопасности;
10.12 Аппаратные средства информационной системы университета
должны
корректно
работать
с
операционными
системами
университета (Windows, Linux).
10.13 Аппаратные средства должны иметь функции масштабирования и
легко конфигурироваться.
Настоящая политика разработана в соответствии с Руководящим
документом
технология.
50-34.698-90
Комплекс
«Методические указания. Информационная
стандартов
и
руководящих
документов
на
автоматизированные системы. Автоматизированные системы. Требования к
содержанию документов».17
Руководящий документ 50-34.698-90 «Методические указания. Информационная технология. Комплекс
стандартов и руководящих документов на автоматизированные системы. Автоматизированные системы.
Требования к содержанию документов»
17
45
4. РАЗРАБОТКА ПОРТАЛА ПЕРВИЧНОЙ АВТОРИЗАЦИИ
4.1.
Постановка задачи
Основной целью дипломной работы является создание комплексной
системы
информационной
безопасности
предприятия
на
примере
информационной системы ННГАСУ. В результате исследования были
выделены основные угрозы безопасности и меры по их предотвращению.
Одной из задач был анализ информационных потоков, в результате
которого были выделены информационные порталы разного доступа. Было
определено, что изолированные информационные системы достаточно хорошо
защищены аппаратными и программными средствами. Однако внешние
информационные порталы время от времени подвергаются атакам. Внешними
информационными службами в университете являются:
– Tandem e – Learning;
– Moodle;
Данные информационные ресурсы используются для контроля учебной
деятельности и дают возможность обучаться дистанционно, посредством
системы управления образованием, которая позволяет распространять учебные
материалы. Доступ к этим информационным ресурсам имеют руководство,
сотрудники учебного отдела, преподаватели и студенты.
В результате изучения информационных ресурсов было решено
разработать портал первичной авторизации пользователей, которая ограничит
прямой доступ к внешним порталам, отделит систему внутренних ресурсов от
внешних и уменьшит поверхность атаки.
С внедрением этого ресурса пользователь, прежде чем пройти
авторизацию на порталах университета, должен её пройти на портале
первичной авторизации. После успешного входа на портале, пользователь
сможет получить доступ к образовательным системам.
46
Предметом разработки является портал для безопасного подключения к
внешним информационным системам университета. Целевая аудитория
портала: персонал учебного отдела, преподавательский состав, студенты.
Назначение портала:
– Проверка идентификационных данных пользователя внешних
информационных систем;
– Ограничение времени доступа пользователя к ресурсам;
Требования к функциональности портала
к исходной базе данных пользователей
4.2.
– Подключение
внешних
информационных систем;
– Отказ в доступе к желаемому ресурсу, если пользователем не пройдена
первичная авторизация;
– Ограниченная по времени сессия;
– При успешном осуществлении первичной авторизации, пользователь
направляется на следующую страницу, на которой отображается время до
закрытия сессии;
– Доступ к внешним ресурсам возможен до истечения времени сессии и
пока в браузере не закрыта вкладка со страницей таймера сессии.
4.3. Разработка портала
Как и большинство веб – ресурсов, портал разрабатывается на
скриптовом языке PHP. Работа портала заключается в отправке SQL запросов в
базу данных и их последующей проверке. При внедрении портала в
информационную
существующая
среду
база
университета,
данных
к
пользователей
порталу
внешних
будет
подключена
ресурсов.
Ввиду
ограниченности доступа к ресурсам, для проверки работоспособности портала
была создана база данных и сайт, имитирующий внешний служебный ресурс
университета.
Для
её
создания
была
использована
среда
для
администрирования баз данных PHPMyAdmin. Таблица базы данных users
содержит семь полей:
47
– id (данное поле заполняется автоматически);
– name (содержит ФИО пользователя);
– email (содержит корпоративный e-mail пользователя);
– password (содержит пароль в хешированном виде);
Пароль хешируется посредством функции hash("sha256", password). Это
стандартная функция, использующая алгоритм хеширования sha-256.
– date_from (время входа на портал);
– date_to (время окончания доступа к порталу);
При
успешном
входе
на
портал
строка
вошедшего
пользователя
обновляется, и в данные поля записывается время входа $date_from = time() и
время
окончания
прекращения
доступа
$date_to
=
$time+(3600*5)
соответственно. Где $time стандартная функция, содержащая в секундах время,
прошедшее с полуночи 1 января 1970 года. Доступ прекращается спустя 5 часов
после открытия сессии.
– online (информация о том, что пользователь находится на портале);
Это поле содержит текущее время нахождения пользователя на портале и
обновляется каждые 10 секунд. Используется для проверки при входе на
служебный внешний ресурс. На рисунке 2 показана структура базы данных.
Рисунок 2. Структура базы данных
Доступ к базе данных реализуется посредством расширения PHP Data
Objects (PDO). С точки зрения защиты данный метод исключает
возможность sql – инъекции, путем многократного выполнения prepared
48
statement (заранее скомпилированное SQL – выражение). Подключение к
базе данных осуществляется командой:
$this->db
=
new
PDO("mysql:dbname=$dbname;host=localhost",
$user, $password,)
array(
PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES UTF8"
));
При открытии страницы портала пользователь вводит в форму «Логин» и
«Пароль». После нажатия кнопки «Войти» идет запрос в базу данных для
проверки:
$query
=
$this->db->query("SELECT
`id`
FROM
`users`
WHERE
`email` = '$login' AND `password` = '$pass'");
Если пользователя с таким логином нет, то появляется «Ошибка входа!»
if(!$result){
echo "<div class='error'>Ошибка
входа!</div><hr><br>";
На рисунке 3 представлена главная страница портала. На рисунке 4
изображена ситуация, при входе незарегистрированного пользователя.
Рисунок 3. Главная страница портала
49
Рисунок 4. Ошибка входа
Если пользователь с таким именем зарегистрирован, то срабатывает SQL –
выражение. Prepared statement выглядит следующим образом:
$query
=
$this->db->prepare("UPDATE
`users`
SET
`date_from`=:time,`date_to`=:date_to WHERE `email` = :login");
Здесь происходит обновление базы путем добавления данных в поля date_to
и date_from. Данные использующиеся в запросе:
$query->bindParam(":time", $time);
$query->bindParam(":date_to", $date_to);
$query->bindParam(":login", $login);
Выполнение самого запроса производится посредством $query->execute().
При переходе на следующую страницу создается сессия. В файлах
«.htaccess» и «index.php» задается время жизни сессии. В данном случае
установлено 5 часов (18000 секунд).
session_start();
ini_set('session.gc_maxlifetime', 18000);
ini_set('session.cookie_lifetime', 18000);
50
Также, при обновлении базы данных, в поле online добавляется текущее
время.
$query = $this->db->prepare("UPDATE
WHERE `email` = :login");
`users`
SET
`online`=:date
$query->bindParam(":date", $date);
$query->bindParam(":login", $login);
$query->execute();
Для подтверждения статуса это время обновляется каждые 10 секунд.
Процесс подтверждения реализован на JavaScript и содержит ajax запрос,
который позволяет отправлять запросы в базу данных без перезапуска
страницы.
$.ajax({
url: "inc/data.php",
global: false,
type: "POST",
data: "target=update&login="+$('#login').text(),
dataType: "text",
success: function(res){
}
}
);
На второй странице установлен таймер, который показывает время до
окончания сессии. Функция таймера также реализована на JavaScript.
setInterval (function(){
var time = $('#time').text();
var current_time = new Date;
var time_end = time - Math.round(current_time.getTime()/1000);
var h = Math.floor(time_end/3600);
var m = Math.floor((time_end % 3600)/60);
var s = (time_end % 3600) % 60;
if(h<10)
h='0'+h;
if(m<10)
m='0'+m;
if(s<10)
s='0'+s;
$('.timer').text(h+':'+m+':'+s);
}, 1000);
51
На рисунке 5 изображена страница, на которую попадает авторизованный
пользователь.
Рисунок 5. Вторая страница портала
После успешной авторизации на портале первичной авторизации
пользователь
имеет
доступ
к
внешним
информационным
порталам
университета.
При входе на информационный ресурс университета, пользователь также
должен пройти авторизацию. При передаче запроса в базу данных идет
проверка на предмет нахождения пользователя на портале первичной
авторизации.
public function res_online($login){
$query
=
$this->db->query("SELECT
*
FROM
`users`
WHERE `email` = '$login'");
$result = $query->fetch(PDO::FETCH_ASSOC);
$date = time();
if($result['date_to']<$date
||
($date
-
$result['online'])>20){
return 0;
}else{
return 1;
}
В этом случае сравнивается данные поля online. Данные поля online
обновляются каждые 10, однако при внедрении портала в информационную
52
структуру университета может произойти задержка, поэтому разница между
текущим временем и временем в таблице сравнивается с двадцатью секундами.
Если пользователь не прошел первичную регистрацию или пользователь ввел
неверный пароль, то при входе на информационный ресурс университета будет
выдана ошибка. На рисунках 6 и 7 изображены страницы информационного
портала с ошибкой входа.
Рисунок 6. Ошибка при входе без первичной авторизации
Рисунок 7. Ошибка при входе с неверными данными
Пользователь может пользоваться внешними ресурсами университета
только
открытой
вкладке
портала
с
успешным
входом.
Так
как
информационные порталы университета содержат разные разделы, то
53
пользователь будет постоянно куда-то перенаправляться. При выходе из
портала или при закрытии вкладки после истечения двадцати секунд, при
нажатии на любой раздел, пользователь будет перенаправлен на главную
страницу данного ресурса.
Поэтому при случайном или намеренном нажатии на кнопку закрытия
вкладки всплывает окно подтверждения перехода. На рисунке 8 показана
ситуация при закрытии вкладки.
Рисунок 8.Появление всплывающего окна
В целом портал разработан в соответствии с главной целью диплома и
обеспечивает защиту персональных данных пользователей, находящихся во
внешних ресурсах. В дальнейшем подобный портал может быть разработан для
корпоративных информационных систем, как одно из средств профилактики
защиты информации.
54
ЗАКЛЮЧЕНИЕ
Для выполнения данной выпускной квалификационной работы были
выполнены следующие задачи:
1. Изучение теоретико – правовой базы в области информационной
безопасности;
2. Анализ
исходной
«Нижегородский
информационной
государственный
системы
ФГБОУ
ВПО
архитектурно-строительный
университет»;
3. Анализ потенциальных угроз и мер борьбы с ними;
4. Разработка политики информационной безопасности в соответствии со
стандартами и лучшими практиками;
5. Разработка
портала
для
ограничения
доступа
к
внешним
информационным ресурсам университета.
В теоретической части работы были изучены основные законодательные и
нормативные акты, стандарты и политики ведущих компаний. Были
определены основные принципы построения системы информационной
безопасности, которая обеспечит комплексную защиту данных.
На этапе исследования информационной системы университета было
составлено описание предприятия и представлена организационная структура.
В результате анализа аппаратно – программного обеспечения была определена
структура сети и состав технических средств. Также была определена
информация, циркулирующая в информационной системе университета, и
отнесена к соответствующему грифу конфиденциальности.
Следующим шагом была разработка модели угроз и нарушителя. На этом
шаге. Были определены основные источники угроз и классифицированы на
антропогенные, техногенные и стихийные. В соответствии с Руководящим
документом ФСТЭК были определены потенциальные внутренние и внешние
55
нарушители, в результате чего выяснилось, что наиболее опасными являются
внутренние нарушители. Для определения актуальных гроз была рассчитана
исходная защищенность системы и определено, что объект обладает средней
защищенностью, что является хорошим показателем. После определения
актуальных угроз были предложены меры по борьбе с ними на техническом и
организационном уровнях. Последним шагом в этой части было определение
класса защищенности системы в соответствии с Руководящим документом
Гостехкомиссии РФ. На основании данных, полученных при анализе системы,
был установлен класс защищенности 1В.
В
следующей
безопасности
части
была
университета
с
разработана
политика
информационной
подробным
указанием
целей
защиты,
распределением ролей пользователей и описанием мер защиты. Меры защиты
были разделены на организационные, физические и аппаратно – программные.
Политика безопасности разрабатывалась на основании результатов анализа на
соответствие существующей системы и стандартов. При разработке политики
были «заполнены» пробелы, найденные в процессе анализа системы.
В финальной части был разработан портал для безопасного подключения к
внешним информационным ресурсам университета. Разработка содержит базу
данных, портал первичной авторизации и сайт – прототип информационных
ресурсов. Для реализации был использован скриптовый язык PHP, для создания
отдельных модулей был использован язык JavaScript. Вся работа построена на
отправке запросов в базу данных и их последующей проверке. Доступ к базе
данных осуществляется посредством метода PDO, который защищает портал от
SQL – инъекций. Данный портал разработан для разграничения внешних и
внутренних ресурсов университета и для уменьшения поверхности атаки.
Все поставленные цели выполнены. Разработанная политика безопасности
может быть развита, в соответствии с развитием технологий и потенциальных
угроз.
56
Список литературы
1. Галатенко В.А. Основы информационной безопасности: курс лекций:
учебное
пособие.
М.:
"Интернет-университет
информационных
технологий - ИНТУИТ.ру", 2003. 280 с.
2. Шаньгин В.Ф. Защита информации в компьютерных системах и сетях.
М.: ДМК Пресс, 2012. 592 с.
3. Петренко С.А., Курбатов В.А. Политики безопасности компании при
работе в Интернет. М.: ДМК Пресс, 2011. 369 с.
4. Проталинский О.М., Ажмухамедов И.М., “Информационная безопасность
вуза”, Вестн. Астрахан. гос. техн. ун-та. Сер. управление, вычисл. техн.
информ., 2009, № 1, 18–23
5. Редишев М. В., Трефилов В. В. «Средства и методы обеспечения
конфиденциальности и целостности данных в СУБД»
6. ГОСТ
Р
ИСО/МЭК
17799-2005.
Информационная
технология.
Практические правила управления информационной безопасностью. М.:
Стандартинформ, 2006. – 56 с.
7. ГОСТ Р ИСО/МЭК 27001-2005. Информационная технология. Методы и
средства
обеспечения
безопасности.
Системы
менеджмента
информационной безопасности. Требования. М.: Стандартинформ, 2006.
– 31 с.
8. ГОСТ Р ИСО/МЭК 15408 – 1 – 2002. Информационная технология.
Методы и средства обеспечения безопасности. Критерии оценки
безопасности информационных технологий. Часть 1. Введение и общая
модель. М., 2002.
9. ГОСТ Р ИСО/МЭК 15408 – 2 – 2002. Информационная технология.
Методы и средства обеспечения безопасности. Критерии оценки
безопасности информационных технологий. Часть 2. Функциональные
требования безопасности. М., 2002.
10.ГОСТ Р ИСО/МЭК 15408 – 3 – 2002. Информационная технология.
Методы и средства обеспечения безопасности. Критерии оценки
57
безопасности информационных технологий. Часть 3. Требования доверия
к безопасности. М., 2002.
11.Федеральный закон Российской Федерации N 149-ФЗ «Об информации,
информационных технологиях и о защите информации» от 27 июля 2006
г.
12.Федеральный закон Российской Федерации №152-ФЗ «О персональных
данных» от 27 июля 2006 г.
13.Руководящий документ
50-34.698-90
«Методические указания.
Информационная технология. Комплекс стандартов и руководящих
документов на автоматизированные системы. Автоматизированные
системы. Требования к содержанию документов»
14.Руководящий документ Гостехкомиссии РФ «Автоматизированные
системы. Защита от несанкционированного доступа к информации.
Классификация автоматизированных систем и требования по защите
информации»
15.Руководящий документ Гостехкомиссии РФ «Средства вычислительной
техники. Межсетевые экраны. Защита от несанкционированного доступа
к информации. Показатели защищенности от несанкционированного
доступа к информации»
16.Руководящий документ ФСТЭК «Базовая модель угроз безопасность
персональных данных при обработке в информационных системах
персональных данных»
17.Руководящий документ ФСТЭК «Методика определения актуальных
угроз
безопасности
персональных
данных
при
обработке
в
информационных системах персональных данных»
18.Виды
мер
и
основные
принципы
обеспечения
информационной
безопасности // Asher's Attic URL: http://asher.ru/security/book/its/06 (дата
обращения: 28.05.2015).
19.О ВУЗЕ // ННГАСУ URL: http://www.nngasu.ru/sveden/common/index.php
(дата обращения: 10.05.2015).
58
Приложение 1
Подсистемы и требования
Класс
защищенности 1В
1. Подсистема управления доступом
1.1. Идентификация, проверка подлинности и контроль доступа
субъектов:
- к системе
+
-к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам
+
ЭВМ
- программам
+
- томам, каталогам, файлам, записям, полям записей
+
1.2. Управление потоками информации
+
2. Подсистема регистрации и учета
2.1. Регистрация и учет:
- входа (выхода) субъектов доступа в (из) систему(ы) (узел сети)
+
- выдачи печатных (графических) выходных документов
+
- запуска (завершения) программ и процессов (заданий, задач)
+
- доступа программ субъектов доступа к защищенным файлам, включая их
+
создание и удаление, передачу по линиям и каналам связи
- доступа программ субъектов к терминалам, ЭВМ, узлам сети ЭВМ,
+
каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам,
файлам, записям, полям записей
- изменений полномочий субъектов доступа
+
- создаваемых защищаемых объектов доступа
+
2.2. Учет носителей информации
+
2.3. Очистка (обнуление, обезличивание) освобождаемых областей
+
оперативной памяти ЭВМ и внешних накопителей
2.4. Сигнализация попыток нарушения защиты
+
3. Криптографическая система
3.1. Шифрование конфиденциальной информации
-
3.2. Шифрование информации, принадлежащей различным субъектам
-
доступа (группам субъектов) на разных ключах
3.3. Использование аттестованных (сертифицированных)
59
-
криптографических средств
4. Подсистема обеспечения целостности
4.1. Обеспечение целостности программных средств и обрабатываемой
+
информации
4.2. Физическая охрана средств вычислительной техники и носителей
+
информации
4.3. Наличие администратора (службы) защиты информации в АС
+
4.4. Периодическое тестирование СЗИ НСД
+
4.5. Наличие средств восстановления СЗИ НСД
+
4.6. Использование сертифицированных средств защиты
+
60
61