Файл: Методика защиты информации в системах электронного документооборота (Организация работ при создании системы защиты электронного документооборота).pdf

В целях дифференцированного подхода к защите информации, осуществляемого для разработки и применения необходимых и достаточных средств защиты информации, а также обоснованных мер по достижению требуемого уровня информационной безопасности, проводится классификация автоматизированных систем, обрабатывающих конфиденциальную информацию, либо разрабатываются профили защиты в соответствии с ГОСТ Р ИСО/МЭК 15408-1—2002.

Профиль защиты — это не зависящая от реализации совокупность требований безопасности для некоторой категории объекта оценки, отвечающая специфическим запросам потребителя.

Классификации подлежат все действующие, но ранее не классифицированные, а также разрабатываемые АИС, предназначенные для обработки информации с ограниченным доступом. Если система, классифицированная ранее, включается в состав вычислительной сети или системы и соединяется с другими техническими средствами линиями связи различной физической природы, то образующаяся при этом АИС более высокого уровня классифицируется в целом, а в отношении системы нижнего уровня классификация не производится.

Если объединяются автоматизированные системы различных классов защищенности, то интегрированная АИС должна классифицироваться по высшему классу защищенности входящих в нее систем, за исключением случаев их объединения посредством межсетевого экрана, когда каждая из объединяющихся автоматизированных систем может сохранять свой класс защищенности. Межсетевой экран представляет собой локальное (однокомпонентное) или функционально-распределенное средство (комплекс), реализующее контроль за информацией, поступающей в АИС и (или) выходящей из системы, и обеспечивающее ее защиту посредством фильтрации информации, т. е. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) системы .

В соответствии с требованиями руководящих документов ФСТЭК России, конфиденциальная информация автоматизированной системы является объектом защиты. Определение объектов защиты проводится на предпроектной стадии, на этапах проектирования и приемо-сдаточных испытаний системы, а также в ходе инвентаризации и доработок, аттестационных испытаний и других контрольных мероприятий, проводимых в процессе эксплуатации АИС.

Категории конфиденциальной информации как объекта защи­ты устанавливаются до начала ее автоматизированной обработки, с использованием документально оформленного Перечня конфиденциальной документированной информации (КДИ) организации, за исключением государственной тайны, подле­жащей защите в соответствии с законодательством Российской Федерации. Этот Перечень может носить обобщающий харак­тер в области деятельности организации или иметь отношение к какому-либо отдельному направлению работ, связанному с созданием АИС. Все исполнители и, при необходимости, представи­тели сторонних организаций, привлекаемых к проведению работ с использованием сведений конфиденциального характера, должны быть ознакомлены с этим Перечнем. При отсутствии в организации Перечня КДИ допускается разработка специализированного переч­ня для конкретной АИС организации или системы структурного подразделения.

Для идентификации и кодирования конфиденциальной инфор­мации при ее структурировании, автоматизированной обработке, в том числе в системах управления базами данных (СУБД), преду­смотрен Классификатор конфиденциальной информации органи­зации.

Каждый реквизит таблицы базы данных, предназначенной для хранения конфиденциальной информации, должен иметь уникаль­ный идентификатор.

В процессе автоматизированной обработки по завершении оче­редного установленного календарного периода (не менее года) экс­плуатации организация (заказчик) организует определение теку­щего уровня защиты в целях контроля его соответствия требуемому уровню.

В организации разрабатываются документы (трудовые догово­ры, контракты, соглашения), регулирующие отношения между ор­ганизацией — работодателем и ее работниками, организацией со сторонними организациями по порядку обращения с конфиден­циальной информацией и ее обмена. Должностным лицам и работникам организации, использующим сведения конфиденциального характера, в организации обеспечи­ваются необходимые условия для соблюдения установленного по­рядка обращения с такой информацией при ее автоматизированной обработке.

Организация эксплуатации АИС и системы защиты информации в ее составе осуществляется в соответствии с установленным в орга­низации порядком, в том числе в соответствии с инструкциями по эксплуатации системы защиты информации для пользователя, опе­ратора, администратора системы, администратора безопасности.

Порядок обеспечения защиты информации в процессе эксплуа­тации, учитывающий особенности реализации АИС, технологии обработки информации и доступа исполнителей к ее техническим средствам, накопителям и носителям информации, определяется Инструкцией по защите информации организации, составленной на основании действующих документов ФСТЭК России, других стан­дартов и нормативных документов.

Ответственность за обеспечение защиты информации в процессе эксплуатации АИС возлагается на руководство эксплуатирующей организации и Службу безопасности или информационной безопас­ности. Подразделение информационной безопасности также может входить, как уже говорилось, в состав подразделения по информаци­онным технологиям организации. Ответственность за соблюдение установленных требований по защите информации при разработке АИС возлагается на непосредственных исполнителей.

1.4 Основные виды угроз информационной безопасности организации

Явление, действие или процесс, результатом которых могут быть утечка, хищение, утрата, искажение, подделка, уничтожение, модификация, блокирование информации, определяются как факторы, воздействующие на информацию. Существуют факторы объективные и субъективные, воздействующие на информацию, которые, в свою очередь, делятся на внутренние и внешние и которые определяются перечнями в соответствии с ГОСТ Р 51275 - 99 .

Основными видами угроз информационной безопасности организации являются: противоправные действия третьих лиц, ошибочные действия пользователей и обслуживающего персонала, отказы и сбои программных средств, вредоносные программные воздействия на средства вычислительной техники и информацию.

Кроме действий человека (умышленные, ошибочные или случайные) источниками угроз информационной безопасности являются сбои и отказы программных и технических средств вычислительной техники, техногенные катастрофы, акты терроризма, стихийные бедствия и др.

Понятие «утечка» связано только с информацией ограниченного доступа (конфиденциальной) и в общем случае трактуется как выход ее из сферы обращения. Под утечкой понимается несанкционированный доступ (НСД) к информации, т. е. доступ в нарушение правил разграничения доступа к информации, которые устанавливает обладатель конфиденциальной информации или автоматизированной информационной системы, в которой эта информация циркулирует. При этом рассматривается только доступ к информации посредством применяемых в автоматизированных системах информационных технологий и непосредственный доступ к носителям информации.

В отличие от утечки информации блокирование, модификация, искажение и уничтожение объекта защиты могут произойти как вследствие несанкционированного доступа человека к информации, циркулирующей в АИС, так и по причинам, не зависящим от человека. При этом искажение и уничтожение объекта защиты, например изменение или замена программ управления вычислительным процессом, также могут привести к утечке информации.

НСД не всегда влечет за собой утечку, блокирование, искажение или уничтожение объекта защиты, что, в свою очередь, не всегда приводит к значимому ущербу. Тем не менее НСД к информации определяется как основополагающий фактор нарушения информационной безопасности при рассмотрении проблем обеспечения защиты информации и противодействия угрозам.

Угроза информационной безопасности может быть обусловлена только наличием уязвимостей объекта защиты.

Уязвимость — это свойство автоматизированной информационной системы или ее компонентов, используя которое реализуются угрозы.

Уязвимость возникает в основном, из-за недоработок или ошибок, содержащихся в продуктах информационных технологий, а также вследствие ошибок при проектировании автоматизированных информационных систем, которые могут привести к поведению, неадекватному целям обеспечения ее безопасности.

Кроме того, уязвимости могут появляться в результате неправильной эксплуатации системы.

Для конкретной АИС как объекта защиты характерна своя со­вокупность угроз, зависящая от условий, в которых создается или функционирует система.

Глава 2. Организация работ при создании системы защиты электронного документооборота

2.1 Основные требования по разработке системы защиты информации

Организация заказчика автоматизированной информационной системы должна на основании ряда руководящих принципов принять ряд мер по защите конфиденциальной информации соответствующей категории, основанных на необходимом уровне информационной безопасности объекта охраны, на этапе создания автоматизированной системы.

Развитие системы АИС и информационной безопасности в ее составе может осуществляться самой организацией, а также специализированными предприятиями, имеющими лицензию на соответствующую деятельность в сфере информационной безопасности.

Организация работы по защите информации назначена руководителю организации, руководителю подразделений, разрабатывающих и эксплуатирующих АИС, информационным службам (information seсurity units) и контролю за защитой информации — руководителю службы безопасности, если она за это отвечает.

Если разработка системы информационной безопасности или ее отдельных компонентов осуществляется специализированным предприятием в организации заказчика, то определяются отделы (или отдельные специалисты), отвечающие за осуществление (внедрение и эксплуатацию) мер информационной безопасности.

Разработка и внедрение системы информационной безопасности должны осуществляться разработчиком совместно со службой безопасности организации и бюро информационных технологий (information seсurity), который участвует в разработке методических руководящих принципов и конкретных требований по защите информации, аналитическое обоснование создания системы информационной безопасности, в подборе компьютерного оборудования и коммуникаций, в охране, в работе организации, распространение и нарушение целостности охраняемой информации для выявления и предотвращения, координации технических характеристик для работы, а также в сертификации АИС.

2.2. Стадии и этапы разработки системы защиты конфиденциальной информации

Автоматизированные информационные системы, обеспечивающие защиту информации от ограниченного распространения, могут быть созданы в одном из трех типов сценариев:

- первый-текущий АИС, предназначенный для обработки открытой информации, добавляет функцию защиты, которая позволяет обеспечить обработку информации ограниченного распространения;

- второй-АИС создается, так сказать, "с нуля", где вместе с прикладной системой обработки на стадии разработки соединяется система защиты;

- третий-реализован модельный проект.

Конечно, последний сценарий прост в реализации, и в рамках настоящей курсовой реализован не будет. Более сложным является второй сценарий, который обеспечивает ряд и стыковочное приложение, с одной стороны, и системы защиты с базовыми операционными системами и базами данных — с другой стороны.

Опыт создания АИС с защитой информации показывает следующее.

Самые безопасные АИС являются те, которые не работают, т. е. не реализуют функции приложений.

Наиболее опасными являются АИС, которые позволяют пользователю использовать любое действие и любое программное обеспечение.

Здесь показаны два полюса противоречий: полная безопасность и полная свобода действий пользователя. Конечно, существует возможность АИС, при которой баланс между безопасностью и применением достаточного количества прикладного программного обеспечения, отвечающего требованиям безопасности обработки информации, соблюдается.

Поиск АИС, чтобы компенсировать эти противоречия, является основой диалектической составляющей процесса построения информационно-защищенных систем. Как правило, поиск баланса осуществляется на основе компромисса между ограничениями функциональности программного обеспечения и передачей частей функций безопасности технических реализаций в организационные действия. Несмотря на определенную сложность второго скрипта построения защищенной АИС, стоимость его реализации значительно ниже, чем создание защищенной АИС по первому сценарию.