0-30 - Основные образовательные программы ТюмГУ

РОССИЙСКАЯ ФЕДЕРАЦИЯ
МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ
ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ
ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ
ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ
ТЮМЕНСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ
Институт математики и компьютерных наук
Кафедра информационной безопасности
Попов Е.Ф.
Комплексное обеспечение информационной безопасности
автоматизированных систем
Учебно-методический комплекс
Рабочая программа для студентов специальности
090105.65 «Комплексное обеспечение информационной безопасности
автоматизированных систем»
очной формы обучения
Тюменский государственный университет
2013
Е.Ф.Попов. Комплексное обеспечение информационной
безопасности автоматизированных систем.
Учебно-методический комплекс. Рабочая программа для студентов
специальности
090105.65
–
«Комплексное
обеспечение
информационной безопасности автоматизированных систем».
Тюмень, 2013, 13 стр.
Рабочая программа составлена в соответствии с требованиями ГОС
ВПО.
Рабочая программа дисциплины опубликована на сайте ТюмГУ:
Комплексное
обеспечение
информационной
безопасности
автоматизированных систем [электронный ресурс] / Режим доступа:
http://www.umk.utmn.ru, свободный.
Рекомендован к изданию кафедрой информационной безопасности.
Утверждено
проректором
по
учебной
работе
Тюменского
государственного университета.
Ответственный
редактор:
А.А.Захаров,
информационной безопасности, д.т.н., проф.
© Тюменский государственный университет, 2013
© Попов Е.Ф., 2013
зав.
кафедрой
1. Пояснительная записка
Дисциплина изучается специальностью
«Комплексное обеспечение
информационной безопасности автоматизированных систем» в 9
семестре. Вид итогового контроля – экзамен.
1.1
Цели и задачи дисциплины
Целью преподавания дисциплины "Комплексное обеспечение
информационной
безопасности
автоматизированных
систем"
является изучение методов и средств управления информационной
безопасностью (ИБ) на объекте, а также на изучение основных
подходов к разработке, реализации, эксплуатации, анализу,
сопровождению
и
совершенствованию
систем
управления
информационной безопасностью определенного объекта (СУИБ).
Приобретенные знания позволят студентам основывать свою
профессиональную
деятельность
на
процессном
подходе,
формировать требования к системе управления ИБ конкретного
объекта, принимать участие в проектировании системы управления
ИБ, принимать участие в эксплуатации системы управления ИБ.
Задачами дисциплины являются:
 Формирование требований к системе управления ИБ
конкретного объекта.
 Проектирование системы управления ИБ конкретного объекта.
 Эффективное управление ИБ конкретного объекта.
Таким
образом,
дисциплина
«Комплексное
обеспечение
информационной
безопасности
автоматизированных
систем»
является неотъемлемой составной частью профессиональной
подготовки по направлению подготовки 090105.65 – «Комплексное
обеспечение информационной безопасности автоматизированных
систем». Вместе с другими дисциплинами цикла профессиональных
дисциплин изучение данной дисциплины призвано формировать
специалиста, и в частности, вырабатывать у него такие качества, как:
 строгость в суждениях,
 творческое мышление,
 организованность и работоспособность,
 дисциплинированность,
 самостоятельность и ответственность.
1.2
Требования к уровню освоения содержания дисциплины
Процесс изучения дисциплины направлен на формирование
следующих компетенций:
В результате изучения дисциплины студент должен:
Знать:
 основные стандарты, регламентирующие управление ИБ;
 принципы разработки процессов управления ИБ;
 подходы к интеграции СУИБ в общую систему управления
предприятием.
Уметь:
 анализировать текущее состояние ИБ в организации с целью
разработки требований к разрабатываемым процессам управления
ИБ;
 определять цели и задачи, решаемые разрабатываемыми
процессами управления ИБ;
 применять процессный подход к управлению ИБ в различных
сферах деятельности;
 используя современные методы и средства разрабатывать
процессы
управления
ИБ,
учитывающие
особенности
функционирования предприятия и решаемых им задач, и оценивать их
эффективность;
 практически решать задачи формализации разрабатываемых
процессов управления ИБ;
 разрабатывать и внедрять СУИБ и оценивать ее эффективность.
Владеть:
 терминологией и процессным подходом построения систем
управления ИБ;
 навыками анализа активов организации, их угроз ИБ и
уязвимостей в рамках области деятельности СУИБ;
 навыками построения как отдельных процессов управления ИБ,
так и системы процессов в целом.
2. Объем дисциплины и виды учебной работы
Вид занятий
Всего часов
Общая трудоемкость
Аудиторные занятия
100
54
Семестр
9
100
54
Лекции
Лабораторные
занятия
Самостоятельная
работа
Контрольные работы
Вид итогового контроля
36
36
18
18
46
46
+
Экзамен
Самост.
работа
Итого
количество
баллов
1.
2.
Модуль 1.
Введение. Базовые вопросы
1 управления ИБ. Процессный
подход
Область деятельности СУИБ.
2 Ролевая структура СУИБ.
Политика СУИБ
3 Рискология ИБ
Всего
Модуль 2.
4. Основные процессы СУИБ.
Обязательная документация
СУИБ
5. Эксплуатация и независимый
аудит СУИБ.
Всего
Модуль 3.
6 Внедрение разработанных
процессов. Документ «Положение
о применимости»
7 Процесс «Управление
инцидентами ИБ. Процесс
«Обеспечение непрерывности
Лабораторн
ые занятия
Наименование темы
Лекции, час.
№ п/п
3. Тематический план изучения дисциплины
3.
4.
5.
6.
4
2
6
10
4
2
6
10
6
2
6
10
30
4
2
6
15
4
2
5
15
30
4
2
6
10
4
3
5
15
ведения бизнеса»
8 Обеспечение соответствия
требованиям законодательства
РФ
Всего
Итого (часов, баллов)
6
36
3
18
6
15
46
40
100
4. Содержание разделов дисциплины
Тема 1. Введение. Базовые вопросы управления ИБ. Процессный
подход
Важность и актуальность дисциплины. Ее взаимосвязь с другими
дисциплинами специальности. Содержание дисциплины. Виды
контроля знаний.
Сущность и функции управления. Наука управления. Принципы,
подходы и виды управления. Цели и задачи управления ИБ. Понятие
системы управления. Понятие СУИБ. Место СУИБ в рамках общей
системы управления предприятием.
Стандартизация в области построения систем управления. История
развития.
Понятие процесса. Методы формализации процессов. Цели и задачи
формализации процессов. Понятие процессного подхода. Процессный
подход
к
разработке,
реализации,
эксплуатации,
анализу,
сопровождению и совершенствованию систем управления (на примере
СУИБ). Основные процессы СУИБ и требования, предъявляемые к
ним каждым из стандартов.
Тема 2. Область деятельности СУИБ. Ролевая структура СУИБ.
Политика СУИБ
Понятие области деятельности СУИБ. Механизм выбора области
деятельности. Состав области деятельности (процессы, структурные
подразделения организации, кадры). Описание области деятельности
(структура и содержание документа).
Понятие роли. Использование ролевого принципа в рамках СУИБ.
Преимущества использования ролевого принципа. Ролевая структура
СУИБ (основные и дополнительные роли).
Роль высшего руководства организации в СУИБ. Этапы разработки и
функционирования СУИБ, на которых важно участие руководства
организации. Суть участия руководства организации на этих этапах
(утверждение документов, результатов анализа рисков и т.д.).
Понятие Политики СУИБ. Цели Политики СУИБ. Структура и
содержание Политики СУИБ. Источники информации для разработки
Политики СУИБ.
Тема 3. Рискология ИБ
Цель процесса анализа рисков ИБ. Этапы и участники процесса
анализа рисков ИБ. Разработка Методики анализа рисков ИБ.
Инвентаризация активов. Понятие актива. Типы активов. Источники
информации об активах организации.
Выбор угроз ИБ и уязвимостей для выделенных на этапе
инвентаризации активов. Оценка рисков ИБ. Планирование мер по
обработке выявленных рисков ИБ. Утверждение результатов анализа
рисков ИБ у высшего руководства. Использование результатов
анализа рисков ИБ.
Тема 4. Основные процессы СУИБ. Обязательная документация
СУИБ
Процессы «Управление документами» и «Управление записями»
(цели и задачи процессов, входные/выходные данные, роли
участников, обязательные этапы процессов, связи с другими
процессами СУИБ).
Процессы улучшения СУИБ («Внутренний аудит», «Корректирующие
действия», «Предупреждающие действия»).
Процесс «Мониторинг эффективности» (включая разработку метрик
эффективности). Понятие «Зрелость процесса».
Процесс «Анализ со стороны высшего руководства».
Процесс «Обучение и обеспечение осведомленности».
Тема 5. Эксплуатация и независимый аудит СУИБ
Ввод системы в эксплуатацию. Возможные проблемы и способы их
решения.
Внешние аудиты ИБ на соответствие требованиям нормативных
документов. Этапы проведения аудита ИБ. Результаты аудита ИБ и их
интерпретация.
Сертификация по ISO/IEC 27001 или ГОСТ Р ИСО/МЭК 27001. Период
эксплуатации СУИБ перед сертификацией. Органы по сертификации,
работающие в РФ (их различия и требования). Этапы
сертификационного аудита. Решение о сертификации.
Тема 6. Внедрение разработанных процессов. Документ
«Положение о применимости»
Этапы внедрения процессов и их последовательность. Обучение
сотрудников, как один из этапов внедрения. Сложности, возникающие
при внедрении процессов управления ИБ, и способы их решения.
Контроль над внедрением процессов.
Документирование процесса внедрения разработанных процессов.
Типовой документ «Положение о применимости». Цель документа.
Структура и содержание документа. Процесс разработки документа,
решение спорных ситуаций при разработке документа.
Тема 7. Процесс «Управление инцидентами ИБ». Процесс
«Обеспечение непрерывности ведения бизнеса»
Цели и задачи процесса «Управления инцидентами ИБ, важность
процесса с точки зрения управления ИБ Входные/выходные данные
процесса. Участники процесса. Обязательные этапы процесса. Связи
с другими процессами СУИБ.
Цели и задачи процесса «Обеспечение непрерывности ведения
бизнеса». Входные/выходные данные процесса. Участники процесса.
Обязательные этапы процесса. Связи с другими процессами СУИБ.
Тема
8.
Обеспечение
соответствия
требованиям
законодательства РФ
Российское законодательство, затрагивающее аспекты и механизмы
обеспечения безопасности в рамках СУИБ (авторское право, защита
персональных данных и т.д.).
Разработка процессов или дополнение существующих процессов
управления ИБ с целью удовлетворения этим требованиям
(необходимые документы, процессы, в которых данные требования
могут быть выполнены).
5. Темы лабораторных работ.
1. Введение. Базовые вопросы управления ИБ. Процессный
подход
Существующие стандарты и методологии по управлению ИБ: их
отличия, сильные и слабые стороны (на примере семейства
стандартов ISO/IEC 2700x, СТО БР ИББС-1.0, ГОСТ Р ИСО/МЭК
17799, ГОСТ Р ИСО/МЭК 27001, ISO/IEC 18044, ISO/IEC 25999 и
др.).
2. Область деятельности СУИБ. Ролевая структура СУИБ.
Политика СУИБ
Разработка и управление политикой ИБ информационной системы
3. Рискология ИБ
- Анализ модели угроз ИБ и уязвимостей
- Анализ модели информационных потоков
4. Основные процессы СУИБ. Обязательная документация
СУИБ
-Процессы
улучшения
СУИБ
(«Внутренний
аудит»,
«Корректирующие действия», «Предупреждающие действия»).
- Процесс «Мониторинг эффективности» (включая разработку
метрик эффективности). Понятие «Зрелость процесса».
- Процесс «Анализ со стороны высшего руководства».
- Процесс «Обучение и обеспечение осведомленности».
5. Эксплуатация и независимый аудит СУИБ
Сертификация по ISO/IEC 27001 или ГОСТ Р ИСО/МЭК 27001.
Период эксплуатации СУИБ перед сертификацией. Органы по
сертификации, работающие в РФ (их различия и требования).
Этапы сертификационного аудита. Решение о сертификации
6. Внедрение разработанных процессов. Документ «Положение
о применимости»
Документирование процесса внедрения разработанных процессов.
Типовой документ «Положение о применимости». Цель документа.
Структура и содержание документа. Процесс разработки документа,
решение спорных ситуаций при разработке документа.
7. Процесс «Управление инцидентами ИБ». Процесс
«Обеспечение непрерывности ведения бизнеса»
Участники процесса. Обязательные этапы процесса. Связи с
другими процессами СУИБ.
8.
Обеспечение
соответствия
требованиям
законодательства РФ
Разработка процессов или дополнение существующих процессов
управления ИБ с целью удовлетворения этим требованиям
(необходимые документы, процессы, в которых данные требования
могут быть выполнены).
6. Самостоятельная работа
Изучение дополнительного материала по теме.
7. Оценка работы студентов в рейтинговых баллах
Распределение рейтинговых баллов по видам работ и нормам
контроля
Максимальное количество баллов
Виды работ и
контроля
Модуль 1 Модуль 2 Модуль 3
Итого
9 семестр
Лекции
5
5
5
15
Лабораторные
15
15
20
50
работы
Самостоятельная
10
10
15
35
работа
Итого за работу в
30
30
40
100
семестре
Итоговый контроль (экзамен)
Итого
100
№
п/п
1.
2.
3.
4.
5.
Виды контроля успеваемости, применяемые на аудиторных
занятиях и их оценка в рейтинговых баллах
Максимальное
Вид контроля успеваемости
количество баллов
Лабораторная работа
0-4 баллов
За несвоевременно
Контроль за своевременностью
сданное практическое
выполнения лабораторных работ
здание (-1) балл в
неделю
Активная работа на лекции
0-1 балл
Контрольная работа
0-5 баллов
Выполнение дополнительных
заданий в процессе самостоятельной
0-5 балла
работы
Балльная оценка текущей успеваемости студента.
Формы текущего контроля
Активная
№
Выполнение
Контрольная
работа
Самостоятельная
темы
лабораторных
Итого
работа
на
работа
работ
лекции
Модуль 1
1.
0-2
0-5
0-3
0-10
2.
0-2
0-5
0-3
0-10
3.
0-1
0-5
0-4
0-10
Всего
Модуль 2
4.
5.
Всего
Модуль 3
6.
7.
8.
Всего
Итого
0-30
0-3
0-2
0-7
0-8
0-5
0-5
0-15
0-15
0-30
0-1
0-2
0-2
0-4
0-8
0-8
0-5
0-5
0-5
0-10
0-15
0-15
0-40
0-100
8. Темы контрольных работ
1. Разработка адресной схемы . Расчет подсетей
2. Протоколы маршрутизации и сабнеттинг
3. Конфигурирование статических маршрутов
4. Конфигурирование RIPv2
5. Конфигурирование EIGRP .
6. Конфигурирование OSPF
9. Вопросы к экзамену
1. Процессный подход к построению СУИБ и циклическая модель PDCA.
2. Цели и задачи, решаемые СУИБ.
3. Стандартизация в области построения СУИБ: сходства и различия
стандартов.
4. Стратегии выбора области деятельности СУИБ.
5. Стратегии построения СУИБ (построение системы в целом, построение
отдельных процессов управления ИБ с последующим объединением в
систему).
6. Основные этапы разработки СУИБ и роль руководства организации на
каждом из этапов.
7. Политика ИБ и политика СУИБ: сходства и различия.
8. Распределение ролей и ответственности в рамках СУИБ: базовая ролевая
структура, дополнительные роли в рамках процессов управления ИБ.
9. Анализ рисков ИБ: основные понятия, цели и задачи процесса, роль
процесса в рамках СУИБ.
10. Анализ рисков ИБ: основные подходы, основные этапы процесса.
11. Управление инцидентами ИБ: основные понятия, цели и задачи процесса,
роль процесса в рамках СУИБ.
12. Расследование инцидентов ИБ: виды расследования инцидентов,
критерии выбора необходимого вида расследования, основные этапы
расследования (для различных видов расследования).
13. Внутренние аудиты ИБ: основные понятия, цели и задачи процесса, роль
процесса в рамках СУИБ.
14. Анализ со стороны руководства: основные понятия, цели и задачи
процесса, роль процесса в рамках СУИБ.
15. Обучение и обеспечение осведомленности пользователей: цели и задачи
процесса, роль процесса в рамках СУИБ.
16. Внедрение процессов управления ИБ: этапы и последовательность.
17. Ввод СУИБ в эксплуатацию: возможные проблемы и способы их решения
10. Литература
10.1 Основная литература
1. Репин В., Елиферов В. Процессный подход к управлению.
Моделирование бизнес-процессов. М.: Стандарты и качество,
2007. – 408 с.
2. Шаньгин В. Ф.Комплексная защита информации в корпоративных
системах: Учебное пособие / В.Ф. Шаньгин. - М.: ИД ФОРУМ:
2010. - 592 с.
10.2 Дополнительная литература
1. Казанцев С.
Правовое обеспечение информационной
безопасности. – М.: Академия, 2007 г. – 240 с.
2. Нив Г. Пространство доктора Деминга. — М.: Альпина Бизнес
Букс, 2007. — 370 с.
3. Фисун А.П., Касилов А.Н., Глоба Ю.А. Право и информационная
безопасность. — М., 2005.— 272 c.
4. Geоrgia Killcrece. State of Practice of Computer Security Incident
Response Teams, 2003. Carnegie Mellon Software Engineering
Institute. NIST SP 800-61 “Computer security incident handling
guide”.
11. Программное обеспечение и Интернет-ресурсы.
- вузовские электронно-библиотечные системы учебной
литературы.
- база научно-технической информации ВИНИТИ РАН
- доступ к открытым базам цитирования, в т.ч. springer.com,
scholar.google.com, math-net.ru
12. Технические средства и программное обеспечение
Для организации самостоятельной работы студентов необходим
компьютерный класс с пакетом прикладных программ, ГРИФ.