МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ
ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ
ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ
«ОРЕНБУРГСКИЙ ГОСУДАРСТВЕННЫЙ ИНСТИТУТ МЕНЕДЖМЕНТА»
Учебно-методическое управление
Отдел практики и содействия трудоустройству выпускников
ОТЧЕТ
о преддипломной практике
в УМВД России по Оренбургской области ЦИТС и ЗИ
(наименование организации, предприятия)
Выполнил студент
очной формы обучения
направления (специальности)
090103.65 «Организация и технология защиты информации»
(код) (наименование)
5 курса ОТЗИ-52 группы _____________________ / /
(индекс) (подпись) (Ф.И.О.)
Наименование базы практики _ в УМВД РФ по Оренбургской обл. ЦИТС и ЗИ
Руководитель практики от вуза ст.преподаватель ___________________ /_Фот Ю.Д. /
(должность) (подпись) (Ф.И.О.)
Оренбург 2014
Содержание
Введение……………………………………………………………………………3
1.История УМВД РФ ЦИТС и ЗИ ………………………………….……………..4
2.Изучение и анализ соответствия нормативно-правовой базы информационной безопасности предприятия УМВД ЦИТС и ЗИ требованиям руководящих документов………………………………………………………….…….9
3.Исследование факторов , влияющих на организацию КСЗИ……………………………………………………….…………………………..….…….12
4. Модель угроз и уязвимостей информационной системы предприятия………………………………………………………………………………13
5.Анализ эффективности системы защиты на предприятии…………………….21
6. Средства защиты информации в УМВД РФ ЦИТС и ЗИ……………………………………………….………………………………………..25
7.Направления по совершенствованию КСЗ предприятия на основе применения мероприятий организационной, технической и программной защиты……………………………………………………………………………………26
Заключение…………………………………………………………………..…….28
8.Библиографический список………………………………………………….…30
Введение
Дипломную практику проходил в УМВД РФ ЦИТС и ЗИ под руководством Петренко Юрия Фёдоровича . Он является начальником отдела по противодействию техническим разведкам.
Задачи работы:
- Изучить и проанализировать соответствие нормативно-правовой базы информационной безопасности предприятия;
- Исследовать факторы влияющие на построение КСЗИ предприятия, в том числе виды конфиденциальной информации;
- Построить модель угроз и уязвимостей информационной системы предприятия;
- Проанализировать эффективность системы защиты на предприятии;
- Разработать направления по совершенствованию КСЗ предприятия на основе применения мероприятий организационной, технической и программной защиты;
- Изучить методику контроля ЗИ на предприятии.
- Изучить работу средств ЗИ технических программных.
Целью дипломной практики, которая была пройдена на базе УМВД РФ ЦИТС и ЗИ, было изучение КСЗИ на предприятии , создать направления по совершенствованию КСЗИ на предприятии, набрать прикладной материал для дипломного проекта.
1. История УМВД РФ ЦИТС и ЗИ и его современное состояние
В История Оренбургской милиции неотделима от славного пути органов внутренних дел России. Созданная 10 апреля 1798 года, она находится на страже законности и правопорядка в нашем далеко не спокойном приграничном регионе.
В Оренбуржье полицейские органы были созданы не сразу. Причина тому — разорение, которому подверглись крепости Оренбургской пограничной линии во время пугачевского восстания. До этого времени, вплоть до 1798 года за порядком наблюдали военные караулы, стоявшие при входе в город, а по ночам контролировались ночными разъездами. Первоначальный штат полиции ограничился полицмейстером, двумя приставами, секретарем и несколькими чиновниками, хотя вначале предполагалось 102 человека. Впоследствии в городе остался только городничий и несколько приказных смотрителей. Такая ситуация сохранялась порядка 20 лет. На деле, собственно, гражданская полиция в Оренбурге поначалу так и не сформировалась — к 1817 году она была представлена одним городничим — все нужные вопросы по-прежнему успешно решались военной полицией, военными властями.
Штат оренбургской полиции 1817 года был утвержден 8 августа и предусматривал 30 человек. Он набирался из желающих, подававших соответствующее прошение. В итоге, полиция в этот период стала прибежищем для отставников и инвалидов, от них не требовали никаких профессиональных качеств — они наблюдали за «благочинием», порядком, соблюдением правил…
К первой половине 19 века в Оренбургской губернии структура полицейских органов стабилизируется. Появились управы — общая и частная. К общей относились полицмейстер и частные приставы. К частной — частный пристав и надзиратели кварталов. В прочих городах края (так называемых «малолюдных») городскую полицию ведал городничий. Помимо того, полиция на местах была наделена значительным количеством административно-хозяйственных полномочий, порой в ущерб задаче охраны правопорядка. Это объяснялось, прежде всего, слабостью местного самоуправления. В 1902 году в Оренбургской городском полицейском управлении состояли на службе 18 человек. Всего же в рядах оренбургской полиции насчитывалось 489 штатных сотрудников. Лишь чрезвычайные события 1905 — 1907 годов в стране и губернии заставили Министерство внутренних дел предпринять активные меры по усилению штатов полиции, также расширилась ее сфера деятельности.
1917 год был действительно поворотным в судьбе россиян, рухнул монархический строй, полицию ликвидировали. 17 апреля Временное правительство учредило постоянную милицию.
Первые милиционеры Оренбуржья несли свою нелегкую службу в сложных условиях разрухи, саботажа, диверсий, активизации преступности.
20 января (2 февраля) 1918 года для укрепления общественного порядка была создана Рабоче-крестьянская милиция, именуемая военно-народной охраной.
Оренбург был разбит на 5 районов, в созданные отделения были назначены комиссары (начальники). Иван Федорович Лобов, возглавляя Оренбургскую народную охрану, большое внимание уделял борьбе с преступностью, и предлагал создать отдел в составе 20 человек, из которых 15 сотрудников будут вести оперативную работу.
Следующим комиссаром после Лобова был назначен Александр-Михайлович Бурчак-Абрамович. Губисполком возложил на милицию обязанности по усилению охраны и общественного порядка, выдаче разрешений на проведение собраний, спектаклей, концертов в городе…
В начале 1922 года НКВД и Главное управление милиции в целях установления более заметной по своему внешнему виду форменной одежды работников милиции и ее однообразия решили приступить к разработке новой формы милиции. Было принято решение о том, чтобы в форме преобладал красный цвет, а не синий, как раньше. 9 ноября 1922 года ВЦИК утвердил новую форму одежды. В 1928 году в Оренбурге было создано 4 отделения милиции общей численностью 138 человек. В уголовном розыске было 34 человека вместе с уборщицами и курьерами. В 11 районных административных отделах насчитывалось 92 человека.
Самым распространенным видом нарушения общественного порядка в конце 30-х гг. было хулиганство, это было связано с ослаблением борьбы с пьянством, недостатками в воспитании, культурно-просветительной работе среди населения.
В марте 1937 года организовался отдел по борьбе с хищениями социальной собственности и спекуляций. В это же время был создан отдел БХСС и в Оренбургском Управлении рабоче-крестьянской милиции. Помимо этого, в целях повышения качества оперативно-служебной деятельности было решено создать в системе ОВД следственные группы, повысилась значительно роль научно-технических подразделений, стали шире применяться криминалистическая техника и другие научно-технические средства.
Важный этап в перестройке деятельности милиции — Великая отечественная война. В военное время обязанности органов внутренних дел значительно расширились. Наружная милиция работала в две смены по 12 часов.
За годы войны из рядов Оренбургской милиции добровольцами в действующую Армию ушло свыше 1500 сотрудников из разных районов нашей области.
Нелегко приходилось в те годы работникам Уголовного розыска, перестраивалась оперативно — розыскная деятельность, особое внимание обращалось на выявление вражеской агентуры, дезертиров, распространителей ложных слухов, изъятия оружия у преступников. Элита профессиональных преступников, прежде всего среди несовершеннолетних. В 1988 году Саракташская районная газета писала о бывшем работнике УГРО Сергее Александровиче Рубцове, который в 1942 году стал начальником милиции и ему приходилось работать в единственном числе и за начальника и за сыщика. Затем отдел стал пополняться ранеными красноармейцами, вернувшимися с фронта.
В первой послевоенной пятилетке были проведены мероприятия, направленные на подъем сельского хозяйства страны — как путем повышения урожайности, так и путем расширения посевных площадей.
В выполнении этой программы немалое место отводилось и Оренбуржью. Большие задачи в этот период были поставлены и перед органами милиции. Необходимо было в короткий срок пересмотреть работу, перестроить, разместить десятки тысяч людей, прибывших на освоение целины. Работу милиции необходимо было организовать так, чтобы не допустить потери зерна нового урожая, обеспечить бесперебойную работу автотранспорта, исключить случаи хищения.
В послевоенные годы, а именно, в 1946 году, отдел уголовного розыска ГУМ МВД СССР был преобразован в Управление уголовного розыска и в последующие годы было много сделано для укрепления аппарата УР. В 1968 году УУР было реорганизовано в Главное Управление уголовного розыска МВД СССР. Вводится принцип специализации сотрудников по различным видам преступлений, ведутся поиски новых эффективных форм работы, с начала 70-х и в последующие годы штаты уголовного розыска увеличились на 50%.
Застойный период крайне негативно отразился на деятельности уголовного розыска в особенности из-за показухи, формализма, утаивания истинного положения вещей в борьбе с преступностью. В среде молодежи и несовершеннолетних, появлялись факты коррупционной преступности, рэкет и др.
В этих сложных условиях работал и Уголовный розыск Оренбургской области. Работали. Не считаясь с личным временем, подчас без сна и еды, без выходных и праздничных дней.
Отдельные сотрудники пали героической смертью в борьбе с преступностью. 3 апреля 1951 года при задержании преступников, готовящих ограбление кассира, был убит старший оперуполномоченный уголовного розыска 1 отделения милиции города Оренбурга И.П. Красов.
29 июня 1986 года при исполнении служебных обязанностей погиб капитан милиции М.Г. Ткачев — старший оперуполномоченный уголовного розыска оперативно-розыскного отделения ОВД Промышленного района г. Оренбурга. В свой последний вечер, заведя восьмилетнего сына домой, Михаил Григорьевич пошел разыскивать свидетеля, проходившего по одному из дел. Неожиданно встретил своего «старого знакомого» Дергачева, которого уже дважды задерживал за хранение наркотиков. И на этот раз капитан застал Дергачева за преступным занятием. Дергачев понял, что от ответственности не уйти, и со своими одурманенными сообщниками расправился с милиционером.
Отдельная веха в истории органов внутренних дел Оренбургской области — командировки сотрудников правоохранения на Северный Кавказ. В участии Оренбургских милиционеров в поддержании конституционного строя и обеспечения целостности Российской Федерации на Кавказе можно условно выделить 4 этапа:
— 1992-1993 гг. — работа Оренбургской милиции в предотвращении Осетино-Ингушского межнационального конфликта;
— 1994-1995 гг. — участие в боевых действиях в Чеченской республике;
— 1996-1998 гг. — прикрытие административной границы Дагестана и Чечни;
— 1999- н/в. — участие в контртеррористической операции в Чеченской республике.
2.Изучение и анализ соответствия нормативно-правовой базы информационной безопасности предприятия УМВД РФ ЦИТС и ЗИ требованиям руководящих документов
Список документов используемых в организации УМВД РФ ЦИТС и ЗИ:
- Конституция Российской Федерации
- Гражданский Кодекс Российской Федерации
- Уголовный Кодекс Российской Федерации
- Декларация прав и свобод человека и гражданина Российской Федерации Законы Российской Федерации:
- «О порядке рассмотрения обращений граждан Российской Федерации» от 01.05.2006 №59-ФЗ;
- «Об обеспечении доступа к информации о деятельности государственных органов и органов местного самоуправления» от 09.02.2009 №8-ФЗ (ред. от 28.12.2013г.);
- «Об информации, информатизации и защите информации» от 20 февраля 1995 г. № 24-ФЗ;
- «О безопасности» от 5 марта 1992 г. № 2446-1;
- «О связи» от 16 февраля 1995 г. №15-ФЗ;
- «О государственной тайне» от 21 июля 1993 г. № 5485-1;
- «О защите прав потребителей» от 7 февраля 1992 г. № 2300-1 в редакции Федерального закона от 9 января 1996 г. № 2-ФЗ;
- «О сертификации продукции и услуг» от 10 июня 1993 г. № 5151-1;
- «О федеральных органах правительственной связи и информации» от 19 февраля 1993 г. № 4524-1;
- «Об участии в международном информационном обмене» от 4 июля 1996 г. № 85-ФЗ;
Указы Президента Российской Федерации:
- «О защите государственных секретов Российской Федерации» от 14 января 1992 г. № 20;
- «Об утверждении перечня сведений, отнесенных к государственной тайне»от 30 ноября 1995 г. № 1203;
- «О Межведомственной комиссии по защите государственной тайны» от 8 ноября 1995 г. № 1108;
- «Вопросы Межведомственной комиссии по защите государственной тайны» от 20 января 1996 г. № 71 с изменениями, внесенными Указами Президента Российской Федерации от 21 апреля 1996 г. № 573, от 6 июня 1996 г. № 815, от 14 июня 1997 г. № 594;
- «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации» от 3 апреля 1995 г. № 334;
- «О защите информационно-телекоммуникационных систем и баз данных от утечки конфиденциальной информации по техническим каналам» от 8 мая 1993 г. № 644;
- «Об утверждении перечня сведений конфиденциального характера» от 6 марта 1997 г. № 188;
- «О мерах по упорядочению разработки, производства, реализации, приобретения в целях продажи, ввоза в Российскую Федерацию и вывоза за ее пределы, а также использования специальных технических средств, предназначенных для негласного получения информации» от 9 января 1996 г. № 21;
- «Об утверждении Государственной программы обеспечения защиты государственной тайны в Российской Федерации на 1996-1997 годы» от 9 марта 1996 г. № 346;
- «Об основах государственной политики в сфере информатизации» от 20 января 1994 г. № 170.
Решения Гостехкомиссии России:
- «Основы концепции защиты информации в Российской Федерации от иностранной технической разведки и от ее утечки по техническим каналам» от 16 ноября 1993г. № 6;
- «О типовых требованиях к содержанию и порядку разработки руководства по защите информации от технических разведок и от ее утечки по техническим каналам на объекте» от 03 октября 1995г. № 42;
Совместные решения Гостехкомиссии России и ФАПСИ:
- «Положение о государственном лицензировании деятельности в области защиты информации» от 24 апреля 1994г. № 10 с дополнениями и изменениями, внесенными решением Гостехкомиссии России и ФАПСИ от 24 июня 1997г. № 60;
- «Система сертификации средств криптографической защиты информации» (N РОСС RU.0001.03001);
Руководящие документы Гостехкомиссии России:
- «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации» (решение Председателя Гостехкомиссии России от 30 марта 1992г.);
- «Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники» (решение Председателя Гостехкомиссии России от 30 марта 1992г.);
- «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (решение Председателя Гостехкомиссии России от 30 марта 1992г.);
- «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требований по защите информации .
3.Исследование факторов, влияющих на организацию КСЗИ
Основные факторы, влияющие на организацию КСЗИ:
- организационно-правовая форма и характер основной деятельности предприятия;
- состав, объем и степень конфиденциальности защищаемой информации; структура и территориальное расположение предприятия;
- режим функционирования предприятия;
- конструктивные особенности предприятия;
- количественные и качественные параметры ресурсообеспечения;
- степень автоматизации основных процедур обработки защищаемой информации;
- Характер и степень влияния различных факторов на организацию КСЗИ.
4. Модель угроз и уязвимостей информационной системы предприятия
Модель угроз – систематизированный перечень актуальных угроз безопасности персональных данных (ПДн) при их обработке в ИСПДн.
Модель угроз необходима для выявления и учета угроз безопасности ПДн, в конкретных условиях и составляет основу планирования мероприятий, направленных на обеспечение безопасности ПДн.
Модель угроз позволяет:
- сформировать обусловленные требования по защите ПДн при их обработке в ИСПДн;
- реализовать подход по обеспечению безопасности ПДн с минимальными затратами.
Модель угроз строится для каждой системы отдельно и поэтапно. В качестве исследования я выбрал ИС бухгалтерия. Она является типовой ИС, так как требуется обеспечение конфиденциальности ПД.
Методика определения актуальных угроз безопасности персональных данных (ПДн) при их обработке в информационных системах персональных данных (ИСПДн) разработана ФСТЭК России на основании Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и «Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденного постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781, с учетом действующих нормативных документов ФСТЭК России по защите информации.
Для того, чтобы рассчитать актуальные угрозы, то есть угрозы, которые могут быть реализованы в ИСПДн и представляют опасность для ПДн, необходимо рассчитать уровень исходной защищенности. Это можно представить в виде таблицы 2.1
Таблица 2.1 — Уровень исходной защищённости ИСПДн
| Низкая | Средняя | Высокая | |
| По территориальному размещению | |||
| Локальная ИСПДн в пределах 1-го здания | + | ||
| По наличию соединения с сетями общего пользования | |||
| ИСПДн, имеющая одноточечный выход в сеть | + | ||
| По встроенным (локальным) операциям с записями баз ПДн | |||
| Запись, удаление, сортировка | + | ||
| По разграничению доступа по ПДн | |||
| ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, являющиеся владельцами ИСПДн | + | ||
| По наличию соединений с другими базами ПДн иных ИСПДн | |||
| ИСПДн, в которой используется база ПДн, принадлежащая владельцу | + | ||
| По уровню обобщения (обезличивания) | |||
| ИСПДн, в которой данные обезличиваются только при передаче в другие организации | + | ||
| По объёму ПДн, которые предоставляются сторонними пользователями без предварительной обработки | |||
| ИСПДн, не предоставляющая никакой информации | + | ||
4=57% 3=43%
Уровень исходной защищенности средний, то есть Y1=5
Далее определяем частоту реализации угрозы Y2 — определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн.
Для этого показателя вводятся 4 вербальных градации: маловероятно (0), низкая вероятность(2), средняя вероятность (5),высокая вероятность(10).
Возможность реализации угрозы определяется соотношением :
Y = (Y1 + Y2)/20
Далее формируется вербальная интерпретация реализуемости угрозы следующим образом:
— низкая;
— средняя;
— высокая;
— очень высокая.
Потом оценивается опасность каждой угрозы. При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения: низкая опасность, средняя опасность, высокая опасность. В таблице 5.2 представлены расчеты для определения актуальных угроз При Y1=5
Таблица 2.2 – Расчет актуальных угроз
| № угрозы | Частота реализ.
угроз Y2 |
Возможность
реализации угроз Y |
Опасность каждой угрозы | Актуальность
угроз |
| 1 | Маловероятно(0) | (5+0)/20=0,25(н) | Низкая | Неактуальная |
| 2 | Маловероятно(0) | (5+0)/20=0,25(н) | Низкая | Неактуальная |
| 3 | Маловероятно(0) | (5+0)/20=0,25(н) | Низкая | Неактуальная |
| 4 | Маловероятно(0) | (5+0)/20=0,25(н) | Низкая | Неактуальная |
| 5 | Маловероятно(0) | (5+0)/20=0,25(н) | Низкая | Неактуальная |
| 6 | Маловероятно(0) | (5+0)/20=0,25(н) | Низкая | Неактуальная |
| 7 | Низкая (2) | (5+2)/20=0,35(с) | Низкая | Неактуальная |
| 8 | Маловероятно(0) | (5+0)/20=0,25(н) | Низкая | Неактуальная |
| 9 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 10 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 11 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 12 | Средняя (5) | (5+5)/20=0,5 (с) | Средняя | Актуальная |
| 13 | Средняя (5) | (5+5)/20=0,5 (с) | Средняя | Актуальная |
| 14 | Средняя (5) | (5+5)/20=0,5 (с) | Средняя | Актуальная |
| 15 | Средняя (5) | (5+5)/20=0,5(с) | Средняя | Актуальная |
| 16 | Средняя (5) | (5+5)/20=0,5 (с) | Низкая | Неактуальная |
| 17 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 18 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 19 | Низкая (2) | (5+2)/20=0,35(с) | Высокая | Актуальная |
| 20 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 21 | Низкая (2) | (5+2)/20=0,35(с) | Низкая | Неактуальная |
| 22 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 23 | Средняя (5) | (5+5)/20=0,5 (с) | Средняя | Актуальная |
| 24 | Низкая (2) | (5+2)/20=0,35(с) | Средняя | Актуальная |
| 25 | Средняя (5) | (5+5)/20=0,5 (с) | Высокая | Актуальная |
| 26 | Средняя (5) | (5+5)/20=0,5 (с) | Высокая | Актуальная |
| 27 | Низкая (2) | (5+2)/20=0,35(с) | Средняя | Актуальная |
| 28 | Низкая (2) | (5+2)/20=0,35(с) | Низкая | Неактуальная |
| 29 | Низкая (2) | (5+2)/20=0,35(с) | Низкая | Неактуальная |
| 30 | Средняя (5) | (5+5)/20=0,5 (с) | Высокая | Актуальная |
| 31 | Средняя (5) | (5+5)/20=0,5 (с) | Высокая | Актуальная |
| 32 | Средняя (5) | (5+5)/20=0,5 (с) | Средняя | Актуальная |
| 33 | Низкая (2) | (5+2)/20=0,35(с) | Средняя | Актуальная |
| 34 | Средняя (5) | (5+5)/20=0,5 (с) | Средняя | Актуальная |
| 35 | Низкая (2) | (5+2)/20=0,35(с) | Высокая | Актуальная |
| 36 | Средняя (5) | (5+5)/20=0,5 (с) | Высокая | Актуальная |
| 37 | Низкая (2) | (5+2)/20=0,35(с) | Средняя | Актуальная |
| 38 | Низкая (2) | (5+2)/20=0,35(с) | Средняя | Актуальная |
| 39 | Низкая (2) | (5+2)/20=0,35(с) | Средняя | Актуальная |
| 40 | Низкая (2) | (5+2)/20=0,35(с) | Средняя | Актуальная |
| 41 | Средняя (5) | (5+5)/20=0,5 (с) | Высокая | Актуальная |
| 42 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 43 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 44 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 45 | Низкая (2) | (5+2)/20=0,35(с) | Средняя | Актуальная |
| 46 | Маловероятно(0) | (5+0)/20=0,25(н) | Средняя | Неактуальная |
| 47 | Средняя (5) | (5+5)/20=0,5 (с) | Средняя | Актуальная |
Глядя на таблицу 2.2 можно определить актуальные угрозы:
- Угроза нарушения конфиденциальности, доступности и целостности информации на жестких магнитных дисках и на памяти типа флеш, инженером программистом в результате нарушения функционирования средств хранения.
- Угроза нарушения конфиденциальности, доступности, целостности информации методом нарушения функционирования средств обработки информации инженером – программистом, использую уязвимости.
- Угроза нарушения конфиденциальности, доступности, целостности информации на встроенных носителях пользователями путем внедрения новых или использования уже имеющихся уязвимостей на этапе эксплуатации, использования уязвимостей ПО.
- Угроза непреднамеренного отключения средств защиты пользователями.
- Угроза нарушения конфиденциальности на жестком магнитном диске администратором безопасности методом несанкционированного копирования информации, обрабатываемой на объекте.
- Угроза нарушения конфиденциальности информации на жестком магнитном диске администратором безопасности методом несанкционированного копирования состава и конфигурации СЗИ.
- Угроза нарушения конфиденциальности, доступности, целостности информации методом нарушения функционирования средств обработки информации администратором безопасности, используя уязвимости ПО.
- Угроза нарушения конфиденциальности, доступности, целостности информации на жестких магнитных дисках и на памяти типа флеш администратором безопасности путем нарушения функционирования средств хранения информации.
- Угроза добавления вредоносной программы лицами, обеспечивающими поставку, сопровождение и ремонт на АРМ при поставке, сопровождении и ремонте ТС.
- Угроза нарушения конфиденциальности информации лицами, обеспечивающими поставку, сопровождение и ремонт ТС на АРМ при поставке, сопровождении и ремонте ТС путем разглашения информации о средствах обработки и защиты информации в ИСПДн.
- Угроза нарушения конфиденциальности информации внутренними нарушителями путем разглашения конфиденциальной информации, к которой имеет доступ.
- Угроза непреднамеренного уничтожения информации, внутренними нарушителями используя штатные средства ОС;
- Угроза нарушения целостности и доступности путем внедрения вредоносной программы.
- угроза нарушения целостности и доступности путем внедрения программной закладки внутренними нарушителями.
- Угроза конфиденциальности информации путем кражи ПЭВМ внешними и внутренними нарушителями.
- Угроза конфиденциальности информации путем кражи (потери) носителей информации внешними или внутренними нарушителями.
- Угроза «анализ сетевого трафика» с перехватом передаваемой из ИСПДн и приминаемой из внешних сетей информации за пределами КЗ.
- Угроза «анализ сетевого трафика» с перехватом передаваемой из ИСПДн и приминаемой из внешних сетей информации в пределах КЗ внешним нарушителем.
- Угроза «анализ сетевого трафика» с перехватом передаваемой из ИСПДн и приминаемой из внешних сетей информации в пределах КЗ внутренними нарушителями.
- Угрозы сканирования, направленные на выявление типа или типов используемых ОС, сетевых адресов РС ИСПДн, топологии сети, открытых портов и служб и тд.
- Угрозы выявления паролей по сети внешними нарушителями
5. Анализ эффективности системы защиты на предприятии
Чтобы предотвратить утечку информации на предприятии проводится инженерно-техническая защита (ИТЗ). ИТЗ — это совокупность специальных органов, технических средств и мероприятий по их использованию в целях защиты конфиденциальной информации. По функциональному назначению средства инженерно-технической защиты делятся на следующие группы:
- физические средства, включающие различные средства и сооружения, препятствующие физическому проникновению (или доступу) злоумышленников на объекты защиты и к материальным носителям конфиденциальной информации и осуществляющие защиту персонала, материальных средств, финансов и информации от противоправных воздействий;
- аппаратные средства. Сюда входят приборы, устройства, приспособления и другие технические решения, используемые в интересах защиты информации. Основная задача аппаратных средств — обеспечение стойкой защиты информации от разглашения, утечки и несанкционированного доступа через технические средства обеспечения производственной деятельности;
- программные средства, охватывающие специальные программы, программные комплексы и системы защиты информации в информационных системах различного назначения и средствах обработки (сбора, накопления, хранения, обработки и пере дачи) данных.
Антивирусные средства
Кроме программ, которые занимаются порчей, уничтожением данных, порчей аппаратного обеспечения, замедлением работы компьютера, существуют вирусы, которые стараются ничем не выдать своего присутствия, а потихоньку собирают информацию, например, пароли, ведут контроль за нажатием клавиш пользователя ПЭВМ, а затем передают найденную информацию на заранее определенный адрес, либо совершают какие-либо определенные действия. Эти вирусы относятся к так называемым “троянским коням”. И наконец, программы, которые позволяют получить доступ на удаленной машине, используя бреши в используем операционной системе. Последние два типа вирусов наиболее опасны.
Основным средством защиты от вирусов можно считать использование антивирусов. Антивирусное средство установленное на ПЭВМ и на почтовом сервере предприятия это «Антивирус Касперского». Предоставляет пользователю защиту от вирусов, троянских программ, шпионских программ, руткитов, adware, а также неизвестных угроз с помощью проактивной защиты, включающей компонент HIPS. Также правильная политика безопасности, включающая обновление используемых программ и антивирусных средств, так как антивирусные средства пассивны и не в состоянии гарантировать 100 % защиту от неизвестных вирусов, поможет избежать вирусного заражения.
Системы обнаружения вторжений
Система обнаружения вторжений (СОВ) — программное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими в основном через Интернет. Системы обнаружения вторжений обеспечивают дополнительный уровень защиты компьютерных систем.
Системы обнаружения вторжений используются для обнаружения некоторых типов вредоносной активности, которая может нарушить безопасность компьютерной системы. К такой активности относятся сетевые атаки против уязвимых сервисов, атаки, направленные на повышение привилегий, неавторизованный доступ к важным файлам, а также действия вредоносного программного обеспечения (компьютерных вирусов, троянов и червей).
Обычно архитектура СОВ включает:
- сенсорную подсистему, предназначенную для сбора событий, связанных с безопасностью защищаемой системы
- подсистему анализа, предназначенную для выявления атак и подозрительных действий на основе данных сенсоров
- хранилище, обеспечивающее накопление первичных событий и результатов анализа
- консоль управления, позволяющая конфигурировать СОВ, наблюдать за состоянием защищаемой системы и СОВ, просматривать выявленные подсистемой анализа инциденты.
Анализаторы системных журналов
Назначение этих продуктов определяется из названия, они предназначены для облегчения работы с журналами, если системным администратор ленится, либо не успевает их просматривать.
Система анализа уязвимостей
Использование всех предложенных выше средств защиты информации может спасовать перед очередной брешью в операционной системе или же прикладной программой. Устранение ее в кратчайшие сроки не позволит злоумышленнику как-либо навредить вам. Но если сеть очень большая и вы, являясь ее администратором, не всегда способны полностью проконтролировать, то, что устанавливает у себя пользователь, во время ли устанавливается очередная заплата. Для этих целей и существуют системы анализа уязвимостей, которые позволяют выявить бреши в вашей системе безопасности.
- Проводят всесторонние проверки систем, пытаясь локализовать уязвимости защиты.
- Генерируют отчет о числе, природе и силе этих уязвимостей.
- Позволяют системному администратору определять эффективность администрирования системы защиты организации.
- Позволяют системному администратору определять состояние защиты системы в конкретное время.
- В некоторых случаях, как только происходит инцидент, позволяют исследователям определить точку входа и маршрут хакера или нарушителя.
Большинство этих средств достаточно дорого и кроме того не способны на 100 % дать уверенность в том, что ваша система не лишена уязвимостей. Но они также как СОВ и антивирусы могут обнаружить только известные дыры в операционных системах, и бессильны перед новыми неизвестными атаками. Поэтому, даже если постоянно заниматься обновлением сигнатур, может случиться так, что атака произойдет раньше, чем выйдет очередное обновление. Эти средства хороши, но не являются панацеей от всех бед.
Таким образом, защита конфиденциальной или секретной информации на предприятии подразумевает собой комплекс мероприятий, направленных на устранение возможных каналов утечки информации, а именно:
- Защита помещения от возможного прослушивания и утечки информации.
- Необходимо разработать нормативную базу, которая позволит соблюсти необходимый режим в организации, позволяющий не допустить посторонних лиц к секретам фирмы.
- Использование сертифицированных криптографических средств при передаче и хранении секретной информации.
- Электрическое разделение корпоративной сети на две независимые: сеть для передачи секретной информации, сеть для передачи открытой информации.
- Необходимо обучение обслуживающего персонала, его постоянное повышение квалификации.
- Защита открытого трафика сети от вторжения с публичной сети.
6.Средства защиты информации в УМВД РФ ЦИТС и ЗИ в отделе по противодействию техническим разведкам
В данном отделе отлажена своя система защиты информации, а так же всего комплекса в целом от проникновения злоумышленника, на предприятии также отлично организован контрольно пропускной режим, в УМВД РФ ЦИТС и ЗИ существует 1 КПП, который осуществляет пропуск сотрудников и граждан с внутренней стороны здания УМВД РФ ЦИТС и ЗИ. Вход на территорию ЦИТС и ЗИ осуществляется с проспекта Гагарина. На предприятии также задействованы для комплексной системы защиты информации:
- 1 КПП , на нём всегда присутствует видеонаблюдение, также на данном КПП присутствует сотрудник УМВД, проверяющий пропуска и открывающий доступ в здание по средством электронной разблокировки дверей ;
- На всей территории УМВД присутствуют камеры ,записывающие всё происходящее как внутри так и снаружи организации , для возможного выявления злоумышленника или других угроз;
- Все компьютеры на предприятии оснащены антивирусами и современной ОС и ПО , и отлаженным FIREWALL , на всех компьютерах присутствуют пароли , все опечатаны , без специального разрешения начальника отдела защиты информации их вскрывать запрещено.;
- Все коммуникации как телефонные линии так и локальные сети ( оптоволоконные ) защищены внешним корпусом или находятся в самой стене что снижает риск прослушивания и считывания информации путём подключения к сетям . Вся информация на предприятии хранится на серверах, в специальном помещение.
7.Направления по совершенствованию КСЗ предприятия на основе применения мероприятий организационной, технической и программной защиты
Для устранения выявленных недостатков в системе информационной безопасности УМВД РФ УИТС и ЗИ предлагается ввести следующие меры:
На законодательном уровне никаких изменений по введению новых мер по обеспечению информационной безопасности не намечено.
Необходимо ввести меры административного уровня в политике безопасности фирмы. На административном уровне предлагается:
- Создать ряд инструкций по информационной безопасности внутри завода для отдельных категорий работников (изменить и хранить пароли в недоступных местах, запретить пронос сторонних предметов на рабочие места, запретить пронос фото и видеоаппаратуры на территорию предприятия ит.д.).
- Предусмотреть ряд мотивационных мероприятий для заинтересованности сотрудников в соблюдении политики безопасности, а так же наказания за грубое нарушение политики безопасности фирмы(премии и штрафы).
Для совершенствования системы безопасности на процедурном уровне предлагается следующий ряд мер:
- Провести ряд консультационных мероприятий с сотрудниками организации по вопросам улучшения информационной безопасности и тщательного соблюдения инструкций политики безопасности.
На программно-аппаратном уровне предлагается ввести следующие меры:
- Обязать всех сотрудников использовать пароли для доступа к базе 1С и более тщательно разграничить доступ к определенным данным базы (справочникам, документам и отчетам) всех сотрудников.
- Необходимо изменить все стандартные логины и пароли для доступа к ADSL-Роутеру, необходимо чтоб пароли соответствовали уровню сложности.
- Ввести ограничения на передаваемые через интернет форматы и размеры файлов отдельным сотрудникам, путем создания фильтров с помощьюFIREWALL(межсетевого экрана).
На организационном уровне необходимо внести усиления режима работы КПП, а именно создать базу биометрических данных(отпечатков пальцев) и соединить ее с базой УМВД России по Оренбургской области, установить биометрические аппаратные средства для идентификации личности людей впускаемых на территорию организации. Усилить видеоконтроль не только на территории организации, но и прилегающей территории со стороны улицы.
Заключение
Цель преддипломной практики, которая заключалась в исследовании процессов защиты информации, была достигнута. В процессе прохождения были изучены информационные системы, меры и средства для их защиты, официальные документы предприятия, нормативная и методическая документация, которые позволили решить многие поставленные задачи. В ходе прохождения преддипломной практики я ознакомился с организационной структурой, рассмотрел информационную систему обработки персональных данных, построил для неё модель угроз и модель нарушителя, определил класс и тип и рассчитал актуальные угрозы ИСПДн. Также ознакомился с новыми программными средствами обеспечения безопасности информации. Осмотрел различное оборудование и получил краткую характеристику по каждому из них. В процессе прохождения практики я влился в рабочий коллектив, почувствовал весь рабочий процесс предприятия.
Немаловажным является тот факт, что в процессе прохождения преддипломной практики были получены новые теоретические и практические знания в области информационной безопасности, которые несомненно будут использованы при написании дипломной работы:
- Рассмотрение нормативно-методической базы в области построения комплексной системы защиты информации.
- Анализ системы обработки данных.
- Исследование организационной структуры предприятия, выявление видов конфиденциальной информации и ресурсов.
- Обоснование актуальных угроз и определение нарушителей информационных процессов в системе организации.
- Исследование способов защиты информационных ресурсов в системе.
- Анализ каналов утечки информации на предприятии.
- Формулировка выводов о состоянии комплексной системы защиты информации в организации.
Во время прохождения практики, я сделал вывод, что состояние защищенности УМВД России по Оренбургской области ЦИТС и ЗИ на высоком уровне. С целью совершенствования системы защиты в УМВД РФ ЦИТС и ЗИ следует провести следующие мероприятия:
- осуществлять более тщательный контроль соблюдения правил хранения рабочей документации сотрудников предприятия;
- регулярно проверять и обслуживать все информационные системы и информационные инфраструктуры на работоспособность;
- разграничить доступ к файлам, каталогам, дискам;
- установить программы защиты от спама.
Исходя из всего вышеизложенного, можно сделать выводы, что все поставленные на преддипломную практику цели и задачи были выполнены.
Библиографический список
- Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
- Федеральный закон Российской Федерации «Об информации, информационных технологиях и о защите информации» от 27.07.2006 г. № 149: офиц. текст: 1 01.01.2011 «Российская газета» от 2 августа 2010 г. N 169.
- Приказ ФСТЭК, ФСБ и Министерства информационных технологий и связи РФ от 13 февраля 2008 года N 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных».
- Собрание законодательства Российской Федерации 2007, № 48, часть II, ст. 6001.
- Постановление Правительства РФ от 17 ноября 2007 г. N 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».
- .Конституция Российской Федерации: офиц. текст с историко-правовым комментарием. –М. : Норма, 2008.
- «Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» от 17 ноября 2007 г. № 781.
- ГерасименкоВ.А..Малюк А.А. Основы защиты информации. — М.: МОП РФ-МИФИ,
- АлексенцевА.И. О классификации конфиденциальной информации по видам тайны: книга/ А.И. Алексенцев. — 2008. – 163.
- АлексенцевА.И. О классификации конфиденциальной информации по видам тайны: книга/ А.И. Алексенцев. — 2008. – 163.
- Белов Е.Б., Лось В.П., Мещеряков Р.В.,ШелупановА.А. Основы информационной безопасности: Учебное пособие. — М.: Горячая линия — Телеком, 2008.
Характеристика на студента
ФГБОУ ВПО «Оренбургский государственный институт менеджмента»
Шупляк Алексея Алексеевича
(Ф.И.О.)
Шупляк Алексей Алексеевич проходил преддипломную практику в
(Ф.И.О. полностью)
УМВД России по Оренбургской области ЦИТС и ЗИ
(наименование организации)
За время прохождения преддипломной практики Шупляк А.А. проявил себя ответственным и компетентным профессиональным специалистом в области информационной безопасности. Изучал структуру и виды деятельности организации, особенности обработки сведений конфиденциального характера, исследовал информационную систему с точки соответствия требованиям ФСТЭК России и ФСБ России и законодательству РФ.
Шупляк А.А. владеет теоретическими знаниями в области информационной безопасности. За период практики им были приняты успешные попытки реализации теоретических знаний на практике в УМВД России по Оренбургской области ЦИТС и ЗИ. В достаточной степени владеет нормативной базой в области защиты конфиденциальной информации.
Работу студента в период прохождения преддипломной практики можно оценить как отличную.
Руководитель от базы практики
___________________________
___________________________
___________________________
___________________________ ____________________ /________________/
(должность) (подпись) (Ф.И.О. полностью)
М П