1 Федеральное государственное автономное образовательное учреждение высшего образования «Санкт-Петербургский политехнический университет Петра Великого» Институт компьютерных наук и технологий Кафедра измерительных информационных технологий Проект допущен к защите Зав. кафедрой Г.Ф.Малыхина 2015 г. ДИПЛОМНАЯ РАБОТА Тема: Разработка системы защиты информации на предприятии Специальность: Комплексная защита объектов информатизации Выполнил студент гр /4 Руководитель А.В. Маркелова О.М. Лепешкин Санкт-Петербург 2015 г.
2 Федеральное государственное автономное образовательное учреждение высшего образования «Санкт-Петербургский политехнический университет Петра Великого» Институт компьютерных наук и технологий Кафедра измерительных информационных технологий УТВЕРЖДАЮ 2015 г. Зав кафедрой Г.Ф. Малыхина ЗАДАНИЕ на дипломное проектирование студентке группы 53505/4 Маркеловой Анне Вильевне 1. Тема работы: Разработка системы защиты информации на предприятии. 2. Срок сдачи: 31 мая Исходные данные к работе: 3.1. Имеющаяся на предприятии система защиты информации Современные СЗКИ. 4. Содержание расчетно-пояснительной записки (перечень подлежащих разработке вопросов): 4.1. Введение Обзор системы защиты информации ЗАО «БКИ» Теоретическая доработка системы защиты информации Разработка системы защиты информации Заключение. 5. Перечень графического материала:
3 5.1. Структурная схема Паспорт-формуляр помещения Презентация Рисунки. 6. Дата выдачи задания: 10 февраля 2015г. Руководитель Задание принял к исполнению (дата) (подпись студента)
4 РЕФЕРАТ В данной дипломной работе рассмотрены вопросы, связанные с разработкой системы защиты информации на предприятии ЗАО «БКИ». В ходе выполнения работы был проведен анализ информационной имеющихся средств защиты информации, в результате которого выявлены состав источников и носителей информации, проведено категорирование информации, выявлены возможные каналы утечки информации. В рамках аудита информационной безопасности была проанализирована текущая деятельность предприятия по вопросам защиты информации, проведена оценка информационной системы организации, в которой циркулирует конфиденциальная информация; были выявлены недостатки системы защиты, способы, устранения которых представлены в работе. В результате выполнения дипломной работы была разработана комплексная система защиты информации, был произведен подбор технических и программно-аппаратных средств. В экономической части работы рассчитаны затраты на проектирование системы защиты.
Допуск к защите курсовой работы
Курсовая работа, студенту не возвращается и хранится в архиве колледжа 3 года. После получения допуска к защите, студент самостоятельно готовится к защите: составляет текст доклада, реагирует на ... является целью и задачами исследования, какие проблемы изучены и какие пути их решения предложены учеными и лично автором. Основу выступления могут составить введение и заключение курсовой работы. ...
5 2 ИСПОЛЬЗУЕМЫЕ ОБОЗНАЧЕНИЯ ИБ информационная безопасность НСД несанкционированный доступ СЗКИ средства защиты конфиденциальной информации АС автоматизированная система КИ кредитная история БКИ Бюро кредитных историй КИ кредитная история СЗИ система защиты информации ЛВС локально-вычислительная сеть АРМ автоматизированное рабочее место ТЗ техническое задание ПРД правила разграничения доступа ЦП цифровая подпись ПО программное обеспечение ПЭП простая электронная подпись НЭП неквалифицированная электронная подпись
6 3 СОДЕРЖАНИЕ ВВЕДЕНИЕ ОСНОВНЫЕ ПОНЯТИЯ ЗАЩИТЫ ИНФОРМАЦИИ И ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Сертификация средств защиты конфиденциальной информации Лицензирование в области защиты информации Методы и средства защиты информации Выводы РАЗРАБОТКА СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ БЮРО КРЕДИТНЫХ ИСТОРИЙ Организационная структура ЗАО «БКИ» Анализ должностных обязанностей сотрудников ЗАО «БКИ» Анализ модели угроз информационного характера Анализ организационных мер по обеспечению безопасности информации Анализ используемых средств защиты конфиденциальной информации ТЕХНИЧЕСКОЕ ЗАДАНИЕ Выводы РЕАЛИЗАЦИЯ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ НА ПРЕДПРИЯТИИ ЗАО «БКИ» Организация электронного документооборота, ЦП и шифрования баз данных Внедрение индивидуального электронного ключа сотрудников ЗАО «БКИ», имеющих доступ к АС БКИ Внедрение технических средств защиты информации от утечки по каналам связи Защита телефонных сетей… 43
7 Защита ЛВС Порядок работ по внедрению Порядок внесение изменений в руководящие документы Расчет экономической части проекта ЗАКЛЮЧЕНИЕ Акт реализации технического задания на разработку системы защиты информации на предприятии ЗАО «БКИ» СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ ПРИЛОЖЕНИЕ… 59
8 5 ВВЕДЕНИЕ В современном мире сложно представить организацию работы человека, предприятия без внедрения автоматизированных систем и процессов. При этом каждый разработчик старается сделать свою систему более простой и удобной в использовании, так как конкуренция на этом рынке достаточно велика. С каждым годом сфера информационных технологий развивается все быстрее. Все больше и больше подвергаются автоматизации различные производственные процессы. Так же неуклонно растет и количество пользователей сети Интернет. И, конечно же, в настоящее время редкая система, даже самая простая, функционирует без использования ресурсов сети Интернет. Помимо внешних воздействий на безопасность (ограбление, взлом) организации существует угроза утечки информации по информационным каналам связи. Становится недостаточным лишь внешнее обеспечение безопасности. Появляется все больше различных фирм, производящих одинаковые услуги, растет и конкуренция. В таких условиях, каждый руководитель заинтересован в обеспечении целостности, доступности и конфиденциальности информации, касающейся деятельности организации. Для решения таких задач появилось целое направление, связанное с разработкой комплексного подхода к обеспечению безопасности информационных ресурсов на разных уровнях. Комплексное обеспечение защиты информации позволяет предотвратить максимальное количество угроз. Особое место в списке автоматизированных систем занимают те, которые обрабатывают конфиденциальную информацию. В настоящее время АС разделены на три группы, для каждой из которых соответствуют свои классы защищенности [1].
Интегрированная автоматизированная система безопасности
... к проектируемой системе Данная система должна обеспечить комплексную защиту объекта с возможностью централизованного многопользовательского управления функциями системы безопасности, в том числе в автономном режиме. В состав комплексной автоматизированной системы безопасности здания необходимо ...
9 6 1. Первая группа включает АС, подразумевающие множество пользователей. В таких АС одновременно обрабатывается и/или хранится информация разных уровней конфиденциальности. Доступ пользователей к информационным ресурсам ограничен. Группа содержит пять классов: 1Д, 1Г, 1В, 1Б, 1А. 2. Вторая группа включает автоматизированные системы, в которых пользователи имеют одни и те же права доступа ко всей информационной базе автоматизированной системы. Информация обрабатывается и/или хранится на носителях различного уровня конфиденциальности. Группа содержит два класса: 2Б, 2А. 3. Третья группа включает автоматизированные системы, в которых работает один пользователь. Пользователь имеет доступ ко всей информационной базе системы. Информация размещена на носителях одного уровня конфиденциальности. Группа содержит два класса: 3Б, 3А. Для качественного и корректного обеспечения безопасности необходим детальный анализ работы АС, включающий в себя разбор всех процессов, уязвимостей, возможных угроз при НСД. Поэтому, для данной работы главной целью является разработка системы защиты информации для закрытого акционерного общества «Бюро кредитных историй». Для решения поставленной задачи требуется проведение следующих работ [2]: 1. Анализ имеющейся системы защиты информации ЗАО «БКИ» Аудит имеющейся системы защиты информации ЗАО «БКИ» Описание существующих информационных ресурсов ЗАО «БКИ» анализ угроз и уязвимостей системы защиты информации ЗАО «БКИ» Анализ рисков системы защиты информации ЗАО «БКИ». 2. Проектирование.
10 Разработка концепции системы защиты информации (политики и процедуры системы) Разработка модели системы безопасности Техническое проектирование, разработка документации. 3. Внедрение. Реализовав все вышеперечисленные действия, удастся построить комплексную систему защиты информации. Система будет включать в себя технические и программные компоненты, что позволит предупредить максимальное количество угроз. Необходимо проводить своевременное обновление всех средств, входящих в состав системы, следить за корректной работой всех компонентов, предотвращать возможные сбои в работе. Таким образом, система защиты информации представляет собой комплекс программных и технических средств, организационных мер и правовых норм, направленных на противодействие различного вида угрозам защищаемой информации, информационным системам и пользователям. В настоящей работе будет рассмотрена условная организация ЗАО «БКИ», которая основана на реальном предприятии. В целях сохранения коммерческой тайны, название данного предприятия разглашаться не может.
11 8 1. ОСНОВНЫЕ ПОНЯТИЯ ЗАЩИТЫ ИНФОРМАЦИИ И ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Современные методы обработки, передачи и хранения информации способствуют появлению угроз, связанных с возможностью потери, искажения и раскрытия конфиденциальной информации. Поэтому обеспечение защиты информации компьютерных систем и сетей является одним из ведущих направлений развития информационных технологий. Ниже представлены основные определения защиты информации и информационной безопасности компьютерных систем и сетей с учетом определений ГОСТ Р «Защита информации. Основные термины и понятия». Защита информации организационные меры, направленные на предотвращение утечки конфиденциальной информации и нежелательных воздействий на защищаемую информацию. Защита информации от утечки организационные и технические меры, направленные на предотвращение неконтролируемого распространения/копирования конфиденциальной информации в результате ее разглашения и НСД к ней. Защита информации от разглашения организационные и технические меры, направленные на предотвращение несанкционированного доступа к конфиденциальной информации и разглашения ее субъектам, не имеющим права доступа к этой информации. Защита информации от НСД организационные и технические меры, направленные на предотвращение получения защищаемой информации заинтересованными субъектами с нарушением установленных нормативными и правовыми документами (актами) или обладателями информации прав или правил разграничения доступа к защищаемой информации.
Метрологическая экспертиза и система сертификации средств измерения
... цель метрологической экспертизы нормативно технической документации — анализ рациональности номенклатуры измеряемых параметров, правильности выбора средств измерения, а также оценка влияния погрешностей измерений на технико-экономические показатели эксплуатации технических средств. Перед метрологической экспертизой осуществляют метрологическую проработку, ...
12 9 Система защиты информации совокупность субъектов и объектов конфиденциальной информации, технических и программных средств защиты информации. Такая система создается и функционирует в соответствии с правилами и нормами, которые устанавливаются соответствующими руководящими актами в области защиты информации в РФ. Современная автоматизированная система обработки конфиденциальной информации представляет собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя. Компоненты АС можно разбить на следующие группы [3]: 1. Аппаратные средства компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства дисководы, принтеры, контроллеры, кабели, линии связи и т. д.).
2. Программное обеспечение различные программы, утилиты и т. д. 3. Данные различная информация, хранящаяся на дисках, дискетах, в журналах и т.д. 4. Персонал пользователи системы и обслуживающие сотрудники. Для обеспечения безопасности всех компонентов АС необходим комплексный подход к разработке системы защиты конфиденциальной информации. Так же не стоит забывать и об используемых в процессе построения системы средствах защиты. Все СЗКИ должны быть сертифицированы [4].
13 Сертификация средств защиты конфиденциальной информации Средства защиты конфиденциальной информации, которые используются при организации системы защиты информации, обязательно должны быть сертифицированы в соответствии с государственными стандартами. Сертификация процесс сопоставления средств защиты с государственными стандартами, и дальнейшая выдача подтверждения при успешном тестировании [5].
Сертификация средств защиты информации по требованиям безопасности и защиты информации организационные меры по подтверждению свойств технических и программных средств защиты информации в соответствии с требованиями государственных стандартов. Согласно требованиям действующего законодательства, обязательной сертификации подлежат средства защиты следующей информации [6]: 1. Сведения, составляющие государственную тайну. Государственная тайна сведения, которые находятся под защитой государства, в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной областях. Распространение таких данных может нанести ущерб безопасности РФ. 2. Государственные информационные ресурсы. Государственные информационные ресурсы находящиеся в собственности государства ресурсы. 3. Персональные данные. Персональные данные любая информация, прямо или косвенно относящаяся к субъекту конфиденциальной информации.
Защита информации в автоматизированных системах
... обеспечения безопасности информации, которые всегда должны быть адекватны существующим угрозам. В данном реферате необходимо отобразить : 1. Классификацию автоматизированных систем 2. Причины защиты информации 3. Меры защиты информации 4. Требования по защите информации 5. Технологии администрирования защиты информации. 1.1. ...
14 Лицензирование в области защиты информации Лицензированием в области защиты информации называется деятельность, которая заключается в передаче/получении прав на проведение различных работ в области защиты информации. Государственная политика РФ в области лицензирования определенных видов деятельности и обеспечения защиты жизненно важных интересов личности, общества и государства определяется Постановлением Правительства Российской Федерации от 24 декабря 1994 г «О лицензировании отдельных видов деятельности». Лицензия разрешение на право проведения работ в области безопасности и защиты информации. Лицензия выдается на определенные виды деятельности и действительна в течение 3 лет, по истечении которых осуществляется ее проверка в порядке, который установлен для выдачи лицензии. Лицензия выдается в том случае, когда предприятие/организация/компания, которое подало заявку на получение лицензии, имеет все необходимые условия для проведения лицензирования. В частности, необходимо иметь производственную и экспериментальную база, нормативную и методическую документацию, располагать научными и инженерно-техническими сотрудниками [7].
Деятельность по лицензированию в области защиты информации выполняют ФСБ и ФСТЭК России. Виды деятельности, которые требуют наличия лицензии ФСБ России: 1. Разработка и/или производство средств защиты конфиденциальной информации. 2. Разработка, производство, внедрение и приобретение для продажи специализированных программных и технических средств,
15 12 которые предназначены для конфиденциального использования конфиденциальной информации индивидуальными предпринимателями и юридическими лицами, которые осуществляют предпринимательскую деятельность. 3. Действия, направленные на выявление радиоэлектронных устройств, которые предназначены для негласного получения конфиденциальной информации в помещениях и технических средствах. 4. Деятельность по распространению криптографических средств. 5. Деятельность, заключающаяся в обслуживании криптографических средств. 6. Предоставление определенных видов услуг в области шифрования конфиденциальной информации. Виды деятельности, лицензируемые ФСТЭК России: 1. Деятельность по технической защите конфиденциальной информации. 2. Разработка и/или производство средств защиты конфиденциальной информации. Таким образом, для соблюдения всех правовых аспектов необходимо использовать только сертифицированные СКЗИ для организации системы защиты информации. Так же необходимо получить лицензию для работы с конфиденциальной информацией. 1.3 Методы и средства защиты информации Можно выделить основные принципы создания СЗИ [8]: 1. Системный подход к построению системы защиты информации, такой подход включает в себя оптимальное сочетание программных, аппаратных, физических и других средств защиты. 2. Принцип постоянного развития системы. Этот принцип является одним из основных в организации системы защиты информации. Способы взлома конфиденциальной информации постоянно развиваются, поэтому
Разработка и создание подсистемы защиты для автоматизированной ...
... безопасности: 3) нарушение конфиденциальности информации; 4) нарушение целостности компонентов системы; 5) доступ к компонентам и ресурсам системы. 2. Назначение и цели создания системы Данный курсовой проект направлен на разработку подсистемы защиты информации для автоматизированной системы ... дома. Основная цель автоматизированной системы «АСТСЖ» - повысить эффективность работы бухгалтера ТСЖ. ...
16 13 обеспечение защищенности информационной системы не может быть статическим. Это динамический процесс, который заключается в анализе и реализации наиболее рациональных методов, способов и путей преобразования системы защиты. 3. Разделение и сведение полномочий по доступу к защищаемой информации к минимуму. 4. Полный контроль и регистрация попыток НСД. Необходимость идентификация и аутентификация каждого пользователя и контролирование его действий с последующим отмечанием фактов совершения различных действий в специализированных журналах. Также ограничение по совершению какого-либо действия в информационной системе без его предварительной регистрации. 5. Обеспечение надежности системы защиты, то есть невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, преднамеренных действий взломщика или непреднамеренных ошибок пользователей. 6. Контроль за корректной работой системы. 7. Обеспечение экономического обоснования использования системы. Это выражается в том, что возможный ущерб от несанкционированного доступа к конфиденциальной информации в ходе реализации угроз значительно превышает над стоимостью разработки и эксплуатации СЗИ [9].
Подводя итог, можно сказать, что построение СЗИ достаточно долгий и трудоемкий процесс. Необходимо учитывать множество аспектов при разработке и реализации системы. Это и правовые нормы, обусловленные законодательством РФ, и экономические аспекты непосредственно предприятия, для которого разрабатывается система. Так же не стоит забывать и об используемых средствах защиты конфиденциальной информации. Они должны быть обязательно
17 сертифицированы и разработаны только органами, имеющими лицензию на данный вид деятельности. 14 Рис. 1.1 Схема организации СЗИ На рис.1 представлена схема взаимодействия компонентов СЗИ. Можно сделать вывод, что такая система всегда находится в динамическом состоянии. 1.4 Выводы Подводя итог, можно сказать, что для построения качественной СЗИ, которая бы удовлетворяла всем законодательным актам РФ, необходимо использование только сертифицированных средств защиты информации. Так же необходим детальный анализ объекта информационной
18 15 безопасности для выявления организации. всех уязвимых мест компании или
19 16 2. РАЗРАБОТКА СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ БЮРО КРЕДИТНЫХ ИСТОРИЙ 2.1. Организационная структура ЗАО «БКИ» Бюро кредитных историй юридическое лицо, которое регистрируется в соответствии с законодательством Российской Федерации, являющееся коммерческой организацией и оказывающее в соответствии с Федеральным законом от ФЗ «О кредитных историях» услуги по формированию, обработке и хранению кредитных историй, а также по предоставлению кредитных отчётов и сопутствующих услуг. Таким образом, одной из главных задач БКИ является прием, обработка и хранение информации, которую предоставляют кредитные организации. При этом необходимо обеспечить передачу информации по защищенным каналам. Так же необходимо обеспечить безопасное хранение КИ в БКИ. Объектами защиты в соответствии с политикой безопасности ЗАО «ВЕБКИ» являются: 1. Конфиденциальная информация, в том числе информация, содержащая сведения, составляющие коммерческую тайну и персональные данные. 2. Состав сведений конфиденциального характера, содержание которых определено в документе «Перечень сведений конфиденциального характера, обрабатываемых в организации», утверждаемым Генеральным директором ЗАО «БКИ». 3. Информационные ресурсы АС БКИ различного уровня доступа, содержащие конфиденциальную информацию. 4. Параметры конфигурации средств защиты информации АС БКИ. Технические меры обеспечения безопасности информации, обрабатываемой с использованием АС БКИ, реализованы в комплексной
Устройства хранения информации
... понятие устройств хранения информации, их виды, принципы записи, хранение, считывание, основные пользовательские характеристики; изучить историю и дальнейшие перспективы развития устройств хранения информации. I. ПАМЯТЬ КОМПЬЮТЕРА. ВНЕШНИЕ ЗАПОМИНАЮЩИЕ УСТРОЙСТВА Памятью компьютера называется совокупность устройств для хранения ...
20 17 системе защиты, данной АС и представляют собой применение следующих подсистем безопасности: 1. Защиты от несанкционированного доступа. 2. Защиты сетевого периметра системы (периметр, на котором находится АС).
3. Защиты информации при ее приеме и передаче. 4. Защиты от вредоносных программно-математических воздействий (воздействие на защищаемую информацию с помощью вредоносных программ).
5. Контроля защищенности сетевой структуры системы (телефонные линии, ЛВС и т.д.).
В подсистемах защиты от НСД, защиты сетевого периметра, приема, передачи и контроля защищенности использованы сертифицированные по требованиям безопасности информации средства защиты информации и средства электронной подписи. В подсистеме защиты от вредоносных программно-математических воздействий использованы средства антивирусной защиты с регулярно обновляемыми базами вирусных сигнатур. Механизм разграничения доступа пользователей к информационным ресурсам системы реализует назначение и предоставления прав доступа в соответствии с документом «Матрица доступа субъектов к ресурсам АС бюро кредитных историй», утвержденным руководителем Общества. Пользователь, пытающийся получить доступ к заданному ресурсу АС БКИ, выполняет процедуру идентификации и аутентификации. Так же можно выделить четыре основных критерия, предъявляемых к безопасности автоматизированных систем: 1. D минимальная защита (Системы, безопасность которых была оценена, но оказалась не удовлетворяющей требованиям более высоких разделов).
2. C дискреционная защита;
21 C1 дискреционное обеспечение секретности (разделение пользователей и данных; дискреционное управление доступом, допускающее принудительное ограничение доступа на индивидуальной основе) C2 управление доступом (более чётко оформленное дискреционное управление доступом; индивидуальные учётные записи, вход под которыми возможен через процедуру авторизации; журнал контроля доступа к системе; изоляция ресурсов).
3. B мандатная защита; 3.1. B1 защита с применением мета-безопасности (мандатное управление доступом к выбранным субъектам и объектам; маркировка данных) B2 структурированная защита (чётко определённая и документированная модель правил безопасности; применение расширенного дискреционного и мандатного управления доступом ко всем объектам и субъектам; скрытые каналы хранения) B3 домены безопасности (соответствие требованиям монитора обращений; структурирование для исключения кода, не отвечающего требованиям обязательной политики безопасности; поддержка администратора системы безопасности; примером подобной системы является XTS-300, предшественница XTS-400).
Реферат технологии хранения информации
... и классифицировать знания о существующих технологиях хранения информации. Задачи: исследовать ресурсы Интернета классифицировать существующие носители информации рассказать о технологиях хранения информации, используемых в современных носителях ... защиты диска от непреднамеренной записи. Если она закрывает окошко, то на дискету можно записать информацию, в противном случае возможно только чтение. ...
4. А проверенная защита; 4.1. А1 проверенный дизайн (по функциям идентично B3; формализованный дизайн и проверенные техники, включающие высокоуровневую спецификацию; формализованные процедуры управления и распространения; примером подобной системы является SCOMP, предшественница XTS-400).
Несмотря на классификацию, широкий спектр СЗКИ и методов реализации, буквально все структурно-функциональные элементы АС являются уязвимыми.
22 19 В настоящее время наиболее значимыми нормативными документами, определяющими критерии оценки ИБ и требования к ее реализации, являются «Общие критерии оценки безопасности информационных технологий» (The Common Criteriа for Informаtion Technology Security Evаluаtion/ISO 15408) «Практические правила управления информационной безопасностью» (Code of prаctice for Informаtion security mаnаgement/iso 17799) Анализ должностных обязанностей сотрудников ЗАО «БКИ» В состав персонала, эксплуатирующего АС БКИ, руководителем Общества назначаются сотрудники, квалификация и степень благонадежности (доверия) которых позволяет безопасно эксплуатировать автоматизированную систему. Сотрудники, назначаемые в состав персонала АС БКИ, выполняют действия по управлению системой в соответствии с ролевой моделью и эксплуатационной документацией. Ролевая модель включает необходимость исполнения персоналом АС следующих ролей: «Администратора АС БКИ», «Оператора АС БКИ» и администратора безопасности. Субъектами доступа к АС БКИ являются: 1. Сотрудники ЗАО «БКИ», имеющие право самостоятельного доступа к техническим средствам АС БКИ и исполняющие функциональные обязанности в объеме действий, предусмотренных ролями: 1.1. «Администратор АС БКИ» «Оператор АС БКИ». 2. Источники и пользователи кредитных историй, формируемые с использованием АС БКИ, предусмотренные ролями «Источник кредитных историй», «Пользователь кредитных историй». Роль «Администратора АС БКИ» предполагает выполнение действий по конфигурированию и настройке средств операционной системы на
23 20 серверной компоненте и компоненте управления АС БКИ, управлению средствами защиты и возлагает на исполнителя роли ответственность за безопасную и бесперебойную работу АС БКИ. Роль «Оператора АС БКИ» предполагает выполнение действий по управлению процедурами получения, хранения и предоставления данных кредитных историй с использованием АС БКИ, по взаимодействию источников и пользователей кредитных историй с АС БКИ. Исполнители ролей «Источник кредитных историй» и «Пользователь кредитных историй» являются внешними пользователями по отношению к АС БКИ. Данные, содержащие защищаемую информацию, обрабатываемую АС БКИ, размещаются в следующих основных ресурсах АС БКИ: 1. Таблицы реляционной базы данных (СУБД PostgreSQL Server 9.0): 1.1. Кредитные истории (credit_history) Черновые кредитные истории (drаft_credit_history) Кредитные отчеты (report) Платежи (pаyment) Запросы на получение кредитного отчета (request) Черновые запросы на получение кредитного отчета (drаft_request) Пользователи (users).
Учебное пособие: Автоматизированные системы защиты информации
... сооружения должностных лиц, журналистов, участников и зрителей спортивных мероприятий; доступ к информации согласно полномочиям, противодействие несанкционированному получению документальной, в том числе ... России (АИС «Спорт»), предназначенной для автоматизации функций сбора, систематизации, накопления, обработки, выдачи, отображения и передачи данных для их анализа, обобщения, выработки ...
2. Xml-выгрузки из реляционной базы данных АС БКИ для отправки титульных частей кредитных историй и запросов в Центральный Каталог Кредитных Историй (ЦККИ).
3. Реквизиты доступа к ресурсам АС БКИ. 4. Ключи электронной подписи, используемы в АС БКИ. 5. Данные системных журналов и подсистемы логирования. 6. Резервные копии базы данных.
24 Перечень защищаемых данных и ресурсов АС БКИ, а также соответствующие им права доступа субъектов АС БКИ (матрица доступа) представлен ниже (табл. 2.1 Перечень защищаемых данных и ресурсов АС БКИ, права субъектов доступа к АС БКИ).
21 Таблица 2.1 Перечень защищаемых данных и ресурсов АС БКИ, права субъектов доступа к АС БКИ Пользов Информацио нные данные Наименова ние ресурса Администрат ор АС БКИ Оператор АС БКИ Источник кредитных историй атель кредитн ых историй Информация таблиц реляционной базы данных Таблица credit_history Кредитные истории Чтение, изменение Чтение Создание, чтение Нет доступа Таблица drаft_credit_his -tory Черновые кредитные истории Чтение, изменение Чтение Создание, чтение, изменение Нет доступа Таблица report Кредитные отчеты Создание, чтение, изменение Создание, чтение Нет доступа Чтение Таблица pаyment Платежи Чтение, изменение Чтение Создание, чтение Нет доступа Запросы на Таблица request получение кредитного Чтение, изменение Чтение Нет доступа Создани е, чтение отчета
25 22 Черновые Создани Таблица drаft_request запросы на получение кредитного Чтение, изменение Чтение Нет доступа е, чтение, изменен отчета ие Таблица users Данные пользовател ей АС БКИ Создание, чтение, изменение Чтение Нет доступа Нет доступа
26 23 Продолжение табл Прочие защищаемые ресурсы Реквизиты доступа Реквизиты доступа к ресурсам АС БКИ Создание, чтение, изменение Чтение собственны х реквизитов Чтение собственны х реквизитов Чтение собстве нных реквизи тов Ключи электронно й подписи Данные системных журналов и подсистемы логировани я xmlвыгрузки Резервные копии базы данных Ключи электронно й подписи, используем ы в АС БКИ Данные системных журналов и подсистемы логировани я Титульные части кредитных историй и запросы в ЦККИ Резервные копии на жестком диске сервера АС БКИ, оптических носителях информаци и Создание, чтение, изменение Чтение Нет доступа Чтение Нет доступа Нет доступа Создание, чтение Создание, чтение Чтение Чтение Нет доступа Нет доступа Нет доступа Нет доступа Нет доступа Нет доступа Таким образом, в АС БКИ предусмотрено разграничение доступа субъектов и объектов доступа к конфиденциальной информации. Это позволяет ограничить доступ к информационной базе АС БКИ и отследить возможные факты НСД.
27 24 В состав эксплуатационной документации входят технологические инструкции персоналу, исполняющему указанные роли, техническая документация производителя технических средств, включая средства защиты информации, документы, регламентирующие предоставление услуг потребителям. В настоящий момент в организации доступ к АС БКИ осуществляется только посредством логина и пароля, чего не достаточно. Это может привести к тому, что, используя соответствующие программы, можно подобрать логин и пароль. В некоторых случаях, если пароль устанавливается непосредственно сотрудником, пароль можно подобрать исходя из общих знаний о человеке. Более надежным вариантом аутентификации является электронный замок, который должен быть у каждого сотрудника ЗАО «БКИ». Который имеет доступ к АС БКИ. Так же не производится шифрование информации в базе бюро. Для более полной организации защиты необходимо шифровать данные ключом, известным только определенной категории сотрудников БКИ Анализ модели угроз информационного характера Одной из главных задач при разработке системы защиты информации является построение модели угроз. Это позволяет в полном объеме оценить слабые места автоматизированной системы. В соответствии с пунктом 2 статьи 19 ФЗ «О персональных данных» обеспечение безопасности персональных данных достигается, в частности определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных, т.е. разработкой модели угроз. Основными группами угроз, на противостояние которым направлены цели и требования безопасности, являются:
28 25 1. Угрозы, связанные с осуществлением несанкционированного доступа (ознакомления) с информацией, содержащей сведения о кредитных историях, при ее обработке и хранении. 2. Угрозы, связанные с несанкционированным копированием (хищением) информации, содержащей сведения о кредитных историях (в том числе БД кредитных историй в целом).
3. Угрозы, связанные с осуществлением доступа к информации, содержащей сведения о кредитных историях, без разрешения на то ее владельца (субъекта кредитной истории).
4. Угрозы, связанные с нарушением доступности информации, содержащей сведения о кредитных историях, передаваемой заинтересованным лицам. 5. Угрозы, связанные с перехватом информации, содержащей сведения о кредитных историях, из каналов передачи данных с использованием специализированных программно-технических средств. 6. Угрозы, связанные с потерей (утратой) информации, содержащей сведения о кредитных историях, вследствие сбоев (отказов) программного и аппаратного обеспечения. 7. Угрозы, связанные с нарушением согласованности данных, принимаемых от источников кредитных историй, помещаемых в БД кредитных историй и выдаваемых в Центральный Каталог Кредитных Историй, а также помещаемых в дополнительную часть кредитной истории (в случае обновления кредитной истории).
8. Угрозы, связанные с отрицанием фактов отправления запросов на получение кредитных историй и фактов получения кредитных отчетов. 9. Угрозы, связанные с внедрением компьютерных вирусов и другого вредоносного программного обеспечения. 10. Угрозы, связанные с осуществление несанкционированных информационных воздействий (направленных на «отказ в обслуживании»
29 26 для сервисов, модификацию конфигурационных данных программноаппаратных средств, подбор аутентификационной информации и т.п.).
Модель угроз является обязательным пунктом в построении системы защиты информации. Данная мера необходима для выявления слабых мест АС БКИ, эффективной постановки задачи. Из вышеперечисленного списка угроз можно сделать вывод, что основными направлениями разработки системы защиты информации будут защита от НСД при приеме, передачи и хранении конфиденциальной информации. В приложении 1 приведен пример модели угроз для офисных помещений Анализ организационных мер по обеспечению безопасности информации Сотрудниками Общества подписывается обязательство установленной формы о неразглашении полученных при выполнении служебных (должностных) обязанностей и включенных в документ «Перечень сведений конфиденциального характера, обрабатываемых в организации» сведений. Для мест размещения технических средств (помещений) АС БКИ определяются границы контролируемой зоны, свободный доступ в которую для посторонних лиц запрещен. Доступ обслуживающего персонала в помещение, где расположены технические средства АС БКИ, допускается только в присутствии лиц, ответственных за обеспечение безопасности информации при ее обработке в АС БКИ. Входные двери технических помещений размещения оборудования АС БКИ снабжаются средствами (замками и иными устройствами), препятствующими неконтролируемому самостоятельному физическому доступу посторонних лиц. Посторонними лицами считаются сотрудники
30 27 Общества, которым не предоставлено право самостоятельного доступа к техническим средствам АС, а также лица, не являющиеся сотрудниками Общества. В Обществе устанавливается режим прохода на территорию (помещения) офиса, включая служебные помещения. При этом исключается нахождение посторонних лиц на территории помещений Общества без контроля со стороны ответственных сотрудников. Режим пропуска в служебные помещения определяется руководителем Общества. Исключается возможность визуального (в том числе с использованием оптических средств наблюдения) просмотра информации ограниченного доступа с устройств визуализации информации (видеодисплейных терминалов и устройств вывода на печать).
Входные двери помещений, где размещены средства АС БКИ, на время отсутствия в них ответственного персонала, обслуживающего АС БКИ, закрываются на замок, опечатываются и сдаются под охрану. Корпуса аппаратных средств, входящих в состав АС БКИ (сервер, АРМ, сетевое оборудование) снабжаются средствами контроля вскрытия (опечатываются).
Хранение документов, содержащих конфиденциальную информацию, а также хранения ключевых носителей с закрытыми ключами электронной подписи производится в специальных хранилищах (шкафах) сейфового типа. Ответственность за сохранность носителей и документов возлагается руководителем Общества на сотрудников в персональном порядке. В отношении сотрудников, назначенных на исполнение обязанностей администратора и оператора АС БКИ, осуществляются строгие отборочнокадровые мероприятия, исключающие возможность появления среди них злоумышленников.
31 Анализ используемых средств защиты конфиденциальной информации Аппаратно-программный комплекс защиты конфиденциальной информации включает в себя следующие средства: 1. Электронный замок «Соболь». Идентификация и аутентификация; контроль целостности; аппаратный ДСЧ; регистрация попыток доступа; доверенная загрузка. 2. СКЗИ Верба-OW. Реализована возможность формирования и проверки цифровой подписи (ЦП) в соответствии с требованиями ГОСТ Р (алгоритм, основанный на эллиптических кривых); в библиотеке имеется функция генерации ключей (verbа_key_gen); обеспечена возможность проверки ЦП ГОСТ Р под сообщением в формате PKCS#7 с использованием сертификата открытого ключа в формате X.509, сформированного СКЗИ «КриптоПро CSP». 3. СКЗИ Secret Disk Server NG. Обеспечивает защиту от несанкционированного доступа баз данных, корпоративной почты и другой информации на дисках сервера; двухфакторную аутентификацию администраторов с помощью электронных ключей; предоставление доступа к конфиденциальным данным только доверенным сотрудникам; многопользовательскую работу с защищёнными данными; экстренную блокировку доступа к данным; возможность использования сертифицированных криптопровайдеров; надёжную защиту баз данных 1С; поддержку Microsoft Windows Server 2012 R2. 4. Ключевой носитель etoken Pro 32k. Техническое средство, предназначенное для корректной аутентификации, безопасного хранения конфиденциальных данных,
32 29 выполнения криптографических вычислений и работы с асимметричными ключами и цифровыми сертификатами. 5. Средство создания модели системы разграничения доступа «Ревизор 1-ХР». Обеспечивает автоматическое сканирование локальных логических дисков, доступных сетевых папок; автоматическое считывание установленных прав доступа файловой системы NTFS (для АРМ под управлением ОС семейства Windows NT); построение по результатам сканирования дерева ресурсов, соответствующего структуре ресурсов АРМ и ЛВС; автоматическое получение списка локальных и доменных пользователей (для АРМ под управлением ОС семейства Wiтdows NT); ручную регистрацию в ПРД пользователей и установка их уровней доступа; установка прав доступа пользователей к объектам доступа, а также грифов секретности объектов доступа; отображение всей информации, содержащейся в ПРД, в удобной форме; создание отчетов на основе информации о субъектах и объектах доступа. 6. Средство контроля защищенности от НСД «Ревизор 2-ХР». Обеспечивает отображение всей информации, содержащейся в ПРД (возможен только просмотр); сравнение структуры ресурсов АРМ, описанной в ПРД, с реальной структурой ресурсов; создание отчета по результатам сравнения; построение плана тестирования объектов АРМ; проверка реальных прав доступа пользователей к объектам доступа; создание отчета по результатам тестирования. 7. Сетевой сканер «Ревизор Сети». Предназначен для обнаружения уязвимостей установленного сетевого программного и аппаратного обеспечения, использующего протоколы стека TCP/IP. 8. Средство фиксации и контроля исходного состояния программного комплекса «ФИКС».
33 30 Обеспечивает фиксацию исходного состояния программного комплекса; контроль исходного состояния программного комплекса; фиксацию и контроль каталогов; контроль различий в заданных файлах (каталогах); возможность работы с длинными именами файлов и именами, содержащими символы кириллицы. 9. Программа поиска и гарантированного уничтожения информации на дисках «TERRIER». Обеспечивает выбор диска для поиска ключевых слов; просмотр содержимого текущего диска; просмотр параметров текущего диска; сохранение фрагмента текущего диска в файл; копирование фрагмента текущего диска в буфер обмена; печать фрагмента текущего диска на принтере; сохранение образа текущего диска в файл; подключение образа диска, сохраненного в файл; формирование списков ключевых слов; выбор параметров поиска ключевых слов; поиск ключевых слов на диске; выборочное гарантированное уничтожение найденных ключевых слов; формирование отчета по результатам поиска; поиск файла, содержащего найденное ключевое слово; просмотр журнала событий программы; просмотр параметров лицензии программы. 10. Антивирус Dr. Web Security Suite. 11. Криптомаршрутизатор (VPN-соединение).
Таким образом, часть угроз, описанных в пункте 1.3, может быть устранена имеющимися СЗКИ. Но, следует отметить, что остаются слабые места в системе, которые не защищены никакими средствами. Задача выполнения данной работы состоит в том, чтобы обеспечить надежной защитой все моменты, описанные в модели угроз. Для этого необходимо расширить круг используемых средств защиты.
34 ТЕХНИЧЕСКОЕ ЗАДАНИЕ 1. Общие сведения. В настоящем техническом задании приведено описание, назначение и цели создания, технические требования к системе защиты информации, в том числе определены требования к организационному, информационному, программному и техническому обеспечению, а также к работам по внедрению вышеуказанной системы на предприятии ЗАО «БКИ». 2. Назначение и цели создания. Система защиты информации комплекс организационных и технических мер, направленных на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Необходимо разработать систему защиты информации для АС БКИ, отвечающей классу защищенности 1Г и классу К3 информационной системы для обработки персональных данных. Система защиты информации должна обеспечивать следующие основные возможности АС БКИ и решение задач: 1. Идентификация и аутентификация субъектов и объектов доступа. 2. Управление доступом субъектов и объектов доступа. 3. Регистрация событий безопасности. 4. Антивирусная защита. 5. Обнаружение (предотвращение) вторжений. 6. Контроль защищенности информации. 7. Целостность информации. 8. Доступность информации. 9. Защита технических средств. 10. Защита АС БКИ, ее средств, систем связи и передачи данных.
35 32 3. Требования к продукту Функциональные требования. СЗИ должна обеспечивать: 1. Установление защищенных каналов связи для передачи и приема конфиденциальной информации. 2. Безопасное хранение конфиденциальной информации в АС БКИ. 3. Санкционированный доступ к АС БКИ. 4. Мониторинг уровня безопасности АС БКИ (периодическое тестирование функций программных средств, их периодическое обновление и контроль работоспособности).
5. Для сервера резервное копирование конфиденциальной информации; элементы системы должны иметь возможность динамического резервирования событийной информации в случае отказа каналов связи Технические требования. Система защиты информации должна беспрепятственно обеспечивать штатную работу АС БКИ. Для этого необходимо соблюдение следующих функций: 1. Бесперебойность питания. 2. Коррекция при падениях напряжения и повышенном напряжении. 3. Фильтрация и защита от скачков напряжения. 4. Обеспечение санкционированного доступа в охраняемое помещение Требования к качеству. Система ЗКИ должна быть построена полностью с помощью сертифицированных лицензированных СЗКИ. Должны быть соблюдены основные функциональные требования к системе Состав и содержание работ по созданию. Моделирование угроз АС БКИ при передаче, приеме и хранении конфиденциальной информации. Тестирование уже имеющейся системы защиты информации. Анализ результатов тестирование. Построение модели новой системы защиты информации на основе собранных данных.
36 33 Необходимо: 1. Внедрить систему электронного документооборота. 2. Цифровую подпись для приема, передачи информации. 3. Шифрование конфиденциальной информации в базе АС БКИ. Для АРМ: 1. Применить индивидуальный электронный ключ для каждого сотрудника ЗАО «БКИ», имеющего доступ к АС БКИ. 2. Внедрить технические средства защиты информации от утечки по каналам связи (телефонные сети, ЛВС) Порядок контроля и внедрения системы При осуществлении работ по внедрению необходимо согласовать вновь установленные оборудование и программы с ранее установленными. Работы должны быть выполнены в строгом соответствии с проектом. Материалы и оборудование должны соответствовать указанным в проекте моделям и наименованиям приборов и программ Требования к документационному обеспечению. Необходимо представить отчет о выполнении ТЗ в виде дипломной работы.
37 Выводы В ходе работы был произведен анализ работы АС БКИ, модели угроз данной системы, имеющихся средств защиты информации. ТЗ было составлено на основании сопоставления анализа модели угроз и имеющихся в организации средств защиты. Был сделан вывод, что есть существенные недостатки в системе защиты, которые могут привести к существенным убыткам в случае их обнаружения. На основании этих данных в ТЗ в задачи поставлены те организационные меры, которые необходимо исполнить в первую очередь для безопасного функционирования АС БКИ.
38 35 3. РЕАЛИЗАЦИЯ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ НА ПРЕДПРИЯТИИ ЗАО «БКИ» 3.1. Организация электронного документооборота, ЦП и шифрования баз данных В настоящее время существует два варианта организации ЭДО: 1. Реализация с помощью сторонних компаний. 2. Реализация с помощью собственной ЭЦП. Конечно, первый вариант является более удобным и экономичным, так как все главные функции выполняет сторонняя организация. Так, например, компания «Такском» предлагает услуги по реализации ЭДО, при этом не требуется приобретения специализированных программ, так как продукт данной компании совместим с любыми бухгалтерскими программами. Но, стоит отметить, что данные услуги направлены на реализацию бухгалтерского ЭДО. Для передачи каких-либо других документов таких средств защиты будет недостаточно. Сейчас на рынке есть и другие организации, которые предоставляют данные услуги. Рассматривать их нет необходимости, потому что суть работы всех одна и та же, иногда различается набор вспомогательных функций и цены на услуги. Если рассматривать ЭДО только в бухгалтерской среде, то такое решение было бы логичным: простота использования, универсальная совместимость с различными бухгалтерскими программами. Но в нашем случае необходимо рассмотреть вариант отправки различных документов. Таким образом, вариант с привлечением сторонней организации мы рассматривать не можем. Второй вариант является более трудоемким, так как необходимо самостоятельно приобрести сертифицированное криптографическое средство, сертификат ЦП и интегрировать в АС.
39 36 Так как необходимо, чтобы подписание документов (в частности КО) происходило автоматически, требуется программное обеспечение, которое можно было бы интегрировать в АС БКИ (система бюро написана на языке программирования «Jаvа»).
Так же необходима функция генерации ключей, формирование ЦП и шифрование данных. Такое средство можно будет применить и к шифрованию данных в базе. Рынок средств для формирования ЦП, имеющих необходимые лицензии и сертификаты, достаточно мал. Рассмотрим некоторые из них (табл 2.1 «Перечень технических средств для ЦП»).
Таблица 3.1 Перечень технических средств для ЦП Организац ия Наименован ие продукта Тех. описание Примечания МО СКЗИ К основным функциям Продукт ПНИЭИ «Верба-OW» относятся: зашифрование/расшифрование предоставляет ся в качестве файлов/блоков памяти; готового к одновременное зашифрование использовани файлов/блоков памяти в адрес ю ПО. множества абонентов; получение имитовставки для файла/блока памяти; формирование случайного числа заданной длины; формирование электронной цифровой подписи файла/блока памяти; проверка ЦП файла/блока памяти; удаление подписи;
40 37 Продолжение табл формирование до 255 ЦП для одних исходных данных; выработка значения хэш-функции файла/блока памяти. КРИПТО- КриптоПро авторизация и обеспечение Функция ПРО CSP юридической значимости шифровани электронных документов при я данных обмене ими между пользователями, отсутствуе посредством использования т процедур формирования и проверки электронной подписи (ЭП) в соответствии с отечественными стандартами ГОСТ Р / ГОСТ Р (с использованием ГОСТ Р / ГОСТ Р ); обеспечение конфиденциальности и контроля целостности информации посредством ее шифрования и имитозащиты, в соответствии с ГОСТ ; обеспечение аутентичности, конфиденциальности и имитозащиты соединений по протоколу TLS; контроль целостности системного и прикладного программного обеспечения для его защиты от несанкционированных изменений и нарушений правильности функционирования;
41 38 Продолжение табл управление ключевыми элементами системы в соответствии с регламентом средств защиты. КРИПТО- КриптоПро авторизация и обеспечение КриптоПро JCP ПРО JCP юридической значимости электронных документов при обмене ими между пользователями, посредством использования процедур формирования и проверки электронной цифровой подписи (ЭЦП) в соответствии с отечественными стандартами ГОСТ Р /ГОСТ Р и ГОСТ Р /ГОСТ Р ; обеспечение конфиденциальности и контроля целостности информации посредством ее шифрования и имитозащиты, в соответствии с ГОСТ ; обеспечение аутентичности, конфиденциальности и имитозащиты соединений TLS; разработан в соответствии с требованиями интерфейса JCА и может создавать новые приложения, которые будут надежно защищены, с использованием инструментария Jаvа такого, как Аpаche XML Security для ЭЦП XMLдокументов стандарта XMLdsig.
42 39 Продолжение табл контроль целостности, системного и прикладного программного обеспечения для его защиты от несанкционированного изменения или от нарушения правильности функционирования; управление ключевыми элементами системы в соответствии с регламентом средств защиты. На данный момент «МО ПНИЭИ» и «КРИПТО-ПРО» являются основными поставщиками криптографических средств на рынок ИТ. Из таблицы, приведенной выше, можно сделать вывод, что наиболее подходящим вариантом является КриптоПро JCP. Данный продукт предоставляется в качестве набора библиотек, которые можно интегрировать в АС БКИ. Так же с помощью этой программы можно осуществлять шифрование данных в базе системы, что является одним из определяющих критериев выбора продукта. Стоит отметить, что в сравнении с ВЕРБА-OW (не предусмотрена покупка лицензии на сервер; лицензия на 1 рабочее место 1500р.) и КриптоПро CSP (лицензия на сервер 25000р.) стоимость лицензии КриптоПро JCP составляет 20000р. В нашем случае ЦП необходима лишь для того, чтобы обеспечить целостность передаваемой информации. Нет необходимости, чтобы ЦП носила юридическую значимость. Таким образом, мы можем
43 40 воспользоваться неквалифицированной ЦП, что позволит избежать приобретения сертификата в удостоверяющем центре. Так же при согласовании формата сотрудничества с кредитными организациями будет необходимо уточнения условий сотрудничества в плане передачи/приема информации, касаемо КИ. Бюро будет обязано предоставлять ключи для проверки ЦП. Для обмена бухгалтерскими документами используется личный кабинет организации в системе. Так как для входа в систему используется логин и пароль, то никаких дополнительных подписей счета и акты. Пара логин и пароль может выступать в качестве ПЭП. Согласно статье 6, п. 2 ФЗ 63 «Об электронной подписи» [10]: Информация в электронной форме, которая подписывается с помощью простой электронной подписью или неквалифицированной электронной подписью, является электронным документом. Такой документ является равнозначным документу на бумажном носителе, который подписан собственноручной подписью. Случаи, в которых вышесказанное является верным установлены федеральными законами, принимаемыми в соответствии с ними нормативными правовыми актами или соглашениями между участниками электронного документооборота. Нормативные правовые акты и соглашения между участниками электронного документооборота, которые подтверждают случаи признания электронных документов, подписанных неквалифицированной электронной подписью, равнозначными документам, представленными на бумажных носителях, подписанных собственноручной подписью, должны предусматривать порядок проверки неквалифицированной электронной подписи. Нормативные правовые акты и соглашения между участниками электронного документооборота, устанавливающие случаи признания электронных документов, подписанных простой электронной подписью, равнозначными документам на бумажных носителях, подписанным
