Перечень условных обозначений и сокращений
АРМ – автоматизированное рабочее место
ВИ – видовая информация
ВТСС – вспомогательные технические средства и системы
ИСПДн – информационная система персональных данных
КЗ – контролируемая зона
МЭ – межсетевой экран
НДВ – недекларированные возможности
НСД – несанкционированный доступ
ОБПДн – обеспечение безопасности персональных данных
ОС – операционная система
ПДн – персональные данные
ПМВ – программно-математическое воздействие
ПО – программное обеспечение
ПЭМИН – побочные электромагнитные излучения и наводки
РИ – речевая информация
СВТ – средство вычислительной техники
СЗИ – средство защиты информации
СПИ – стеганографическое преобразование информации
СЭУПИ – специальные электронные устройства перехвата информации
ТКУИ – технический канал утечки информации
ТСОИ – технические средства обработки информации
УБПДн – угрозы безопасности персональных данных
Содержание
Введение………………………………………………………………………
Аналитическая часть…………………………………………………………
Вывод…………………………………………………………………………
Расчет коэффициента готовности локально-вычислительной …………...
Вывод…………………………………………………………………………
Заключение…………………………………………………………………
Список литературы…………………………………………………………
Приложения…………………………………………………………………
Введение.
Наиболее удобный вид обмена информацией можно представить и реализовать на сегодняшний день в виде локальных вычислительных и распределённых сетей, где каждое автоматизированное рабочее место (АРМ) входит в единую логическую структуру обмена данными. Локально-вычислительные сети, или сокращённо ЛВС, позволяют максимально ускорить создание больших проектов, требующих вклада множества сотрудников либо задействования различных устройств или вычислительных мощностей различных серверов (СУБД, хранилище данных, кластерные блоки для вычислительных задач, дублирование информации и др.). При этом возникают огромные трудности с организацией модели безопасной передачи данных внутри данных сетей, т.к. риск утечки информации намного больше, чем для случая выделенного автоматизированного рабочего места (АРМ оператора). Вдобавок, зачастую приходится связываться с некоторыми удалёнными банками данных (в филиалах компании) или даже непосредственно запрашивать и предоставлять информацию в сети Интернет. В таком случае, количество уязвимостей возрастает в несколько раз и только достаточно грамотная и продуманная балансировка соотношения «оценки рисков» - «затраты на обеспечение безопасности и сохранности данных» позволяет достичь расходов на приемлемом для организации уровне и не разорить всю бизнес-модель за счёт единственной гонки в установке новых и новых заградительных барьеров на пути потенциальных угроз, появляющихся порой даже чаще чем ежедневно.
Актуальность данной работы обеспечивается:
Глубоким анализом рисков информационной безопасности в локально-вычислительной сети;
Впервые рассмотренной одновременной атакой нескольких злоумышленников;
Детальным расчетам коэффициента готовности локально-вычислительной сети к атакам.
Объектом исследования является информационная безопасность локально-вычислительной сети ОАО «СМАЗ».
Предметом исследования является расчет коэффициента готовности локально-вычислительной сети к атакам нескольких злоумышленников.
Задачи:
Рассмотреть возможные модели атак на локальную сеть;
Составить списки защищаемой информации в сети;
Проанализировать риски данных в локальной сети;
Оценить возможный ущерб при несанкционированном доступе к данным злоумышленников;
Рассчитать коэффициента готовности локально-вычислительной сети к атакам.
Исходными данными для работы являются перечни защищаемой информации, классифицируемой по защите от угроз на основе руководящих документов ФСТЕК. Так же для расчетов коэффициента готовности будут использоваться анализ рисков и показатели возможного ущерба.
В первой главе будут рассмотрены возможные модели атак на локальную сеть, составлен перечень защищаемой информации на основе классификации ФСТЕК, проведен анализ рисков информационной безопасности в локально-вычислительной сети, оценен возможный ущерб от несанкционированного доступа злоумышленника к защищаемой информации.
Во второй главе будет произведен расчет коэффициента готовности локально-вычислительной сети к атакам при нападении нескольких злоумышленников, на основе данных, полученных в первой главе.
Описание предприятия и объекта защиты
Объектом защиты в данном курсовом проекте является ЛВС крупного авиастроительного предприятия. ОАО "Смоленский авиационный завод" является высокоразвитым предприятием, оснащенным самым современным оборудованием, обладающим всеми технологиями, свойственными предприятиям авиационной и машиностроительной ориентации. Для автоматизации производства была построена ЛВС, соединяющая здания администрации ОАО "Смоленский авиационный завод" и производственные помещения. Данная ЛВС соединена с глобальной вычислительной сетью Internet через специализированный сервер.
Организация является государственной.
Организационная структура предприятия
Рис 1.1. Схема организационной структуры.
Организационная структура предприятия: линейно-функциональная.
Руководитель отдела принимает решение наряду с заместителями генерального директора по различным вопросам.
Стоить выделить отдел АСУ (Автоматизация систем управления), так как данный отдел отвечает за работоспособность сети а так же за ее безопасность.
Функции отдела АСУ:
Поддержка рабочих мест;
Построение и прокладка сети;
Администрирование сети;
Классификация защищаемой информации по защите от угроз
???????????????????????
Классификация информационных систем персональных данных (ИСПДн)
Согласно постановлению правительства РФ от 1 ноября 2012 г. N 1119, установлены требования к защите персональных данных при их обработке в информационных системах, и введены 3 типа актуальных угроз от которых зависит требуемый уровень защищенности.
Под актуальными угрозами понимаются условия и факторы, создающие опасность несанкционированного доступа к персональным данным (в том числе случайного), в результате которого данные могут быть уничтожены, изменены, блокированы, копированы, предоставлены или распространены.
Угрозы 1-го типа - угрозы, связанные с наличием недокументированных возможностей в используемом системном программном обеспечении.
Угрозы 2-го типа - актуальны угрозы, связанные с наличием недокументированных возможностей в используемом прикладном программном обеспечении.
Угрозы 3-го типа - актуальны угрозы, не связанные с наличием недокументированных возможностей в используемом системном и прикладном программном обеспечении.
При обработке персональных данных в информационных системах устанавливаются 4 уровня защищенности.
Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:
Организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
Обеспечение сохранности носителей персональных данных;
Утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
Использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.
Для обеспечения 3-го уровня защищенности персональных данных при их обработке в информационных системах помимо выполнения требований, предусмотренных для 4-ого уровня защищенности необходимо, чтобы было назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.
Для обеспечения 2-го уровня защищенности персональных данных при их обработке в информационных системах помимо выполнения требований, предусмотренных для 3-ого уровня защищенности, необходимо, чтобы доступ к содержанию электронного журнала сообщений был возможен исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей.
Для обеспечения 1-го уровня защищенности персональных данных при их обработке в информационных системах помимо требований, предусмотренных 2-ого уровня защищенности, необходимо выполнение следующих требований:
автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным;
создание структурного подразделения, ответственного за обеспечение безопасности персональных данных в информационной системе, либо возложение на одно из структурных подразделений функций по обеспечению такой безопасности.