Подякувати Студентському архіву довільною сумою
Admin
26.02.2023 12:38
Дякуємо, що користуєтесь нашим архівом!
Розроблення комплексної системи безпеки підприємства/
Інформація про навчальний заклад
ВУЗ:
Національний університет Львівська політехніка
Інститут:
Інститут комп’ютерної техніки, автоматики та метрології
Факультет:
Не вказано
Кафедра:
Автоматики та телемеханіки
Інформація про роботу
Рік:
2004
Тип роботи:
Розрахунково - графічна робота
Предмет:
Інші
Частина тексту файла (без зображень, графіків і формул):
Міністерство науки та освіти України
Національний університет „Львівська політехніка”
Інститут комп’ютерної техніки, автоматики та метрології
кафедра „Автоматика та телемеханіка”
Розрахунково-графічна робота
на тему “Розроблення комплексної системи безпеки підприємства”.
Підготував асистент кафедри АТ
Ломницький І.Б.
Львів – 2004 Розрахунково-графічна робота на тему “Розроблення комплексної системи безпеки приміщення”.
Завдання.
Розробити проект комплексної системи безпеки одного із виділених приміщень, в якому циркулює ІзОД. Приміщення, специфіка у використанні цього приміщення персоналом, перелік основних та допоміжних технічних засобів обробки, передавання та приймання інформації наведені у таблиці 1 та вибираються згідно варіанту. Допускаються зміни при виборі об’єкта захисту, за бажанням студента, які повинні узгоджуватись з викладачем.
Теоретичні відомості та деякі рекомендації для виконання роботи.
Поетапність у розробленні системи захисту об’єкта визначена необхідністю комплексного вирішення проблеми з одного боку, а з іншого боку – дає можливість заощадити матеріальні ресурси, які виділяються на побудову системи захисту.
На кожному етапі повинні бути виконані процеси збирання та підготовлення даних, їх аналіз і прийняття рішення. При цьому результати виконаного на певному етапі аналізу і прийняті на їх підставі рішення слугують вихідними даними для аналізу на наступному етапі. На будь-якій стадії або будь-якому етапі може постати необхідність уточнення початкових умов і повернення на більш ранні етапи.
Процес проектування комплексної системи безпеки підприємства чи ж виділеного приміщення включає в себе наступні етапи:
Визначення переліку об’єктів, які підлягають захисту. Побудова моделей об’єктів.
Модель об'єкта захисту містить усебічні характеристики об'єкта захисту, що дозволяє органічно запровадити заходи безпеки в процес його функціонування на місці, в часі і відповідно до завдань, які вирішуються на об’єкті;
У загальному випадку число моделей має відповідати кількості об’єктів, які підлягають захисту.
При наявності кількох однотипних об’єктів достатньо однієї спільної моделі для цих всіх об’єктів, яка включає в себе характеристики цих об’єктів.
Можне виділити чотири основні класи об’єктів, які підлягають захисту.
Об’єкти захисту
Інформаційні ресурси
Персонал
Технічні засоби обробки та захисту інформації
Матеріальні (фінансові) ресурси
Після визначення переліку об’єктів, які підлягають захисту, необхідно провести категорювання цих об’єктів згідно із ступенем важливості. В більшості випадків, віднесення об’єкта до тієї чи іншої категорії здійснюється виходячи із життєвого досвіду. Деякі рекомендації щодо класифікації автоматизованих систем обробки даних, які відносяться до підкласу технічних засобів обробки та захисту інформації, наведені в нормативному документі НД ТЗІ 2.5-005 -99 „Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу”.
2. Визначення переліку загроз та аналіз ризиків з боку цих загроз. Побудова моделей загроз об’єктам захисту. Побудова моделі порущника.
Загроза – будь-які обставини або події, що можуть бути причиною порушення безпеки об’єкта та нанесення збитків.
Модель загроз об'єкту захисту – містить аналіз можливого переліку загроз безпечному стану об'єкта захисту та їх джерел, а також аналіз ризиків з боку цих загроз відповідно до умов функціонування підприємства;
В залежності від виду об’єкту та специфіки його функціонування, по різному можуть проявляти себе і загрози, характерні для цього об’єкта.
Визначення та систематизація переліку загроз, які виникають у відповідності до кожної окремої сукупності об’єктів захисту, здійснюється виходячи із усіх можливих джерел виникнення загроз. При наступному уточненні можливих загроз, головну увагу потрібно концентрувати на інформаційних сигналах та полях, середовищі їх поширення та засобах їх обробки. Тому перелік можливих загроз інформаційним ресурсам та засобам їх обробки визначається виходячи із можливих шляхів утворення каналів витоку інформації та можливих випадкових та навмисних впливів на інформаційні системи.
-технічними каналами, що включають канали побічних електромагнітних випромінювань і наводів, акустичні, оптичні, радіотехнічні, хімічні та інші канали;
- каналами спеціального впливу шляхом формування полів і сигналів з метою руйнування системи захисту або порушення цілісності інформації;
- несанкціонованим доступом шляхом підключення до апаратури та ліній зв’язку, маскування під зареєстрованого користувача, подолання заходів захисту для використання інформації або нав’язування хибної інформації, застосування закладних пристроїв чи програм та вкорінення комп’ютерних вірусів.
- внаслідок різноманітних впливів природного походження (природні катастрофи, кліматичні умови).
- випадкових чи навмисних впливів техногенного походження.
Опис загроз і схематичне подання шляхів їх здійснення складають окрему модель загроз.
Конструктивним шляхом створення моделі загроз є формування окремих моделей загроз для кожної компоненти системи (зокрема, для АС -центральний вузел АС, абоненти регіонального рівня, канал зв'язку та вузол зв'язку з регіональними абонентами, вузол зв'язку з Internet) та типових об'єктів захисту (робочих станцій, серверів, мережевого обладнання ЛОМ обробки даних, ЛОМ прийняття рішень тощо). Формування окремих моделей загроз повинно здійснювати на підставі загальної класифікації загроз інформації та загальній моделі порушника.
На протязі життєвого циклу кожної автоматизованої системи (АС), в тому числі і АС, модель загроз необхідно переглядати у зв'язку з модернізацією та розвитком АС, а також періодично, у зв'язку з удосконаленням технічних та програмних засобів подолання механізмів захисту.
Перелік можливих загроз інформації, яка обробляється в автоматизованій системі та циркулює у зв’язку з цим у відповідних приміщеннях, наводиться у додатку 1. В графі “Наслідки” приведені основні властивості інформації та відповідної автоматизованої системи, порушення яких можливо при реалізації загроз.
Порушник - це особа, яка помилково, внаслідок необізнаності, цілеспрямовано, за злим умислом або без нього, використовуючи різні можливості, методи та засоби здійснила спробу виконати операції, які призвели або можуть призвести до порушення властивостей інформації, що визначені політикою безпеки.
Модель порушника відображає його практичні та потенційні можливості, апріорні знання, час та місце дії тощо.
Під час розробки моделі порушника визначаються:
припущення щодо категорії осіб, до яких може належати порушник;
припущення щодо мотивів дій порушника (цілей, які він переслідує);
припущення щодо рівня кваліфікації та обізнаності порушника та його технічної оснащеності (щодо методів та засобів, які використовуються при здійсненні порушень);
обмеження та припущення щодо характеру можливих дій порушників (за часом та місцем дії та інші).
Відносно АС порушники можуть бути внутрішніми (з числа персоналу або користувачів системи) або зовнішніми (сторонніми особами). Визначення категорій порушників наведено у додатку 2. В таблицях 3-7 наведені специфікації моделі порушника за мотивами здійснення порушень, за рівнем кваліфікації та обізнаності щодо АС, за показником можливостей використання засобів та методів подолання системи захисту, за часом дії, за містом дії. У графі “Рівень загроз” зазначених таблиць наведені у вигляді відносного ранжування оцінки можливих збитків, які може заподіяти порушник за умови наявності відповідних характеристик. Рівень збитків характеризується наступними категоріями:
1 – незначні; 2 – допустимі; 3 – середні; 4 – дуже значні.
Категорії порушників, визначених у моделі, специфікація моделі порушника за мотивами здійснення порушень, специфікація моделі порушника за рівнем кваліфікації та обізнаності щодо АС, специфікація моделі порушника за показником можливостей використання засобів та методів подолання системи захисту, специфікація моделі порушника за часом дії та специфікація моделі порушника за місцем дії наведені у додатку 2.
Модель порушника, яка побудована з урахуванням особливості конкретної автоматизованої системи, технологій обробки інформації, складу технічного персоналу та користувачів, характеризується сукупністю значень характеристик, що наведені у додатку 2. Сукупність цих характеристик визначає профіль можливостей порушника.
Організаційно-правове забезпечення системи захисту та вибір технічних засобів необхідних для захисту об’єктів.
На цьому етапі необхідно визначити стратегію і тактику захисту об’єктів.
стратегія захисту об'єкта - містить концептуальні підходи до організації захисту об'єкта відповідно до умов життєдіяльності даного підприємства;
тактика захисту об'єкта - містить конкретні організаційні і технічні рішення по захисту об'єкта, що реалізують безпечний режим функціонування об'єкта захисту.
Нормативно-правове забезпечення систем захисту.
Для ефективної розробки і функціонування системи безпеки необхідно опиратися на чинні законодавчі акти, укази, постанови (розпорядження) Уряду України, а також враховувати результати законотворчої діяльності в країні в галузі інформатизації і захисту інформації.
До основних базових законів, що визначають правову основу функціонування системи безпеки в умовах виробничої і фінансово-економічної діяльності, відносяться:
Закони України:
“Про інформацію”;
“Про державну таємницю”;
“Про власність”;
“Про захист інформації в автоматизованих системах”;
“Про банки і банківську діяльність”;
“Про внесення змін до Кодексу України про адміністративні правопорушення щодо встановлення відповідальності за порушення законодавства про державну таємницю”;
Крім цього необхідно враховувати деякі нормативні документи та стандарти, перелік яких є в додатку 3, та низку інших законодавчо-нормативних актів, які потрібно враховувати при побудові системи безпеки об`єктів.
Технічне забезпечення систем захисту, вибір технічних засобів необхідних для захисту об’єктів.
Захист персоналу.
До групи співробітників, що може служити об'єктом протиправних дій, відноситься та її частина, що за родом своєї діяльності:
- розпоряджається значними матеріальними (фінансовими) ресурсами (наприклад, касир, інкасатор, продавець, сторож і т.п.);
-контролює працездатність систем і засобів захисту різного виду і рівня (наприклад, адміністратор мережі (безпеки) і т.п.) і ін.
Тому, якщо в приміщенні, систему безпеки якого необхідно побудувати, знаходяться люди, які ведуть подібну діяльність, то необхідно передбачити відповідні засоби безпеки.
Захист інформаційних ресурсів.
В приміщеннях, які підлягають захисту можуть знаходитись технічні засоби прийому, обробки, збере ження та передачі інформації (ТЗПІ) та допоміжні технічні засоби і системи (ДТЗС), тому дамо коротке роз’яснення для цих понять.
Сис теми і засоби, що безпосередньо обробляють інформацію, віднесену до державної таємниці, а також конфіденційну інформацію часто називають основними технічними засобами прийому, обробки, збере ження та передачі інформації (ОТЗ). До них відносять засоби і системи інформатизації (засоби обчислювальної техніки, інфо рмаційно – обчислювальні комплекси, мережі і системи), програмні засоби (операційні системи, системи керування базами даних, інше загальносистемне і прикладне програмне забезпечення), автоматизовані системи ке рування, системи зв'язку і передачі даних, технічні засоби прийому, пере дачі й обробки інформації з обмеженим доступом, їх інформативні фізичні поля.
Технічні засоби і системи, що не відносяться до засобів і систем інфор матизації (ТЗПІ), але розміщені в приміщеннях, у яких обробляється інформація з обмеженим доступом. Такі технічні засоби і системи назива ються допоміжними технічними засобами і системами (ДТЗС). До них відносяться: системи пожежної й охоронної сигналізації, допоміжні сигнальні лінії, сторонні незадіяні провідники, електропобутові прилади і т.д., а також самі приміщення, при значені для обробки інформації з обмеженим доступом.
При виборі технічних засобів захисту, необхідних при побудові системи безпеки об’єкта, можна скористатися переліком сертифікованих технічних засобів, рекомендованих для організації охорони об’єктів та діяльності підрозділів охорони. Цей перелік надається викладачем в окремому додатку.
Хід виконання роботи.
1. Формулювання завдання та мети розрахункової роботи.
Визначення переліку об’єктів, які підлягають захисту. Побудова моделей об’єктів.
На цьому етапі визначається перелік об’єктів, які потребують захисту. Далі для кожного об’єкта складається його модель, при наявності кількох об’єктів одного типу складається одна спільна модель.
Побудову системи захисту інформаційних масивів (системи ТЗІ) розпочинаються наказом керівника органу, щодо якого здійснюється ТЗІ про проведення обстеження умов інформаційної діяльності. Наказ встановлює:
персональний склад комісії;
мету роботи комісії;
терміни виконання робіт.
Після призначення комісія складає план своєї роботи, який затверджується керівником органу, щодо якого здійснюється ТЗІ.
За результатами роботи комісії складається наказ керівника органу, щодо якого здійснюється ТЗІ. Приблизний зміст наказу наведений у додатку № 4.
Під час впровадження заходів першого етапу побудови системи ТЗІ в органі, щодо якого здійснюється ТЗІ складаються такі документи:
Перелік відомостей, які містять інформацію з обмеженим доступом та підлягають захисту від витоку технічними каналами.
Інформація, включена до цього переліку, може бути як власністю держави (державна таємниця), так і власністю органу, щодо якого здійснюється ТЗІ (комерційна таємниця). Такий перелік повинен відповідати “Зведеному переліку відомостей, що становлять державну таємницю” та переліку відомостей, що не становлять комерційну таємницю, затвердженому Постановою Кабінету Міністрів України.
Перелік виділених приміщень, інформаційних систем, спеціальних об’єктів на яких утворюється, обробляється, зберігається, передається інформація з обмеженим доступом.
Переліки технічних засобів (ТЗПІ), які використовуються під час інформаційної діяльності органу, щодо якого здійснюється ТЗІ (для інформації з обмеженим доступом – “основні технічні засоби та системи”, далі по тексту – ОТЗ; для інформації загального користування – ТЗПІ, які не є основними).
План контрольованої зони органу, щодо якого здійснюється ТЗІ, на якому відображаються:
генеральний план органу, щодо якого здійснюється ТЗІ;
межа контрольованої зони на місцевості;
місця, де наявна інформація з обмеженим доступом;
відстані об’єктів від межі контрольованої зони;
Організаційно-технічні засоби, якими унеможливлюється несанкціоноване перебування сторонніх осіб на території органу, щодо якого здійснюється ТЗІ (контрольно-перепускні пости, технічні засоби охорони та сигналізації, маршрути прямування транспортних засобів, інше).
Акти категоріювання об’єктів, де циркулює ІзОД. Акти складаються за формою наведеною у додатку № 5.
Визначення та аналіз загроз об’єктам захисту та безпосередньо інформації. Побудова моделі загроз. Побудова моделі порушника.
На цьому етапі визначається перелік загроз матеріальним ресурсам, персоналу та інформаційним масивам, проводиться аналіз можливих ризиків з боку цих загроз, будується модель порушник.
Загалом цей етап можна розбити на наступні кроки:
Аналіз умов розташування об’єкта інформаційної діяльності.
На даному етапі проводиться аналіз розташування об’єкта захисту відносно інших об’єктів та будівель. Особливо важливо враховувати наявність поблизу приміщення, яке підлягає захисту будівель іноземних представництв. При розташуванні іноземних представництв на відстані ближче ніж 200 м. від межі контрольованої зони, виникають особливі умови для проектування системи захисту.
Визначення та аналіз загроз матеріальним ресурсам підприємства. Побудова відповідної моделі загроз.
Визначення та аналіз загроз персоналу. Побудова моделі загроз персоналу об’єкта захисту.
Визначення та аналіз загроз ІзОД ,яка циркулює на об’єкті захисту. Побудова моделі загроз.
Побудова моделі порушника.
Приклад окремої моделі загроз для інформації з обмеженим доступом, що циркулює на об’єктах
інформаційної діяльності наведений у окремому додатку, який додається викладачем.
Розроблення системи захисту об’єктів.
На даному етапі проводиться вибір засобів захисту адекватних загрозі. При цьому система безпеки, побудована на вибраних засобах захисту повинна відповідати певним вимогам, бути:
безперервною, плановою, централізованою, цілеспрямованою, конкретизованою, активною, надійною, універсальною, комплексною.
Для випадку, коли об’єктом захисту виступає інформація, основою функціонування системи заходів є комплексний план ТЗІ. На підставі аналізу матеріалів обстеження та окремих моделей загроз (на об’єкті, щодо якого здійснюється ТЗІ може бути складена загальна модель) визначаються головні та часткові (біжучі) задачі захисту інформації, розробляються організаційні, первинні та основні технічні заходи щодо ТЗІ та вказівки про порядок їх реалізації.
З метою впорядкування нормативно-документальної бази органу, щодо якого здійснюється ТЗІ повинні бути розроблені переліки наявних розпорядчих, організаційно-методичних, нормативних документів щодо ТЗІ та вказівок щодо їх використання. Одночасно розробляються та затверджуються керівництвом інструкції, які встановлюють обов’язки, права та відповідальність особового складу органу, щодо якого здійснюється ТЗІ.
Розробляється та затверджується встановленим порядком календарний план ТЗІ.
4. Реалізація плану захисту інформації.
На цьому етапі здійснюються організаційні, первинні та основні технічні заходи захисту ІзОД. Організаційні та первинні технічні заходи ТЗІ проводяться одночасно і є першим етапом роботи, основні технічні заходи – наступним.
Докладний зміст вказаних заходів наведений в ДСТУ 3396.1-96. “Захист інформації. Технічний захист інформації. Порядок проведення робіт”.
За результатами реалізації структурний підрозділ ТЗІ розробляє:
“Атестаційний паспорт” об’єкту. Типова форма паспорту наведена у додатку № 7;
5. Контроль функціонування і керування системою ТЗІ.
Організується перспективне та поточне керування системою захисту ІзОД органу, щодо якого здійснюється ТЗІ, яке включає в себе постійний плановий контроль за актуальністю реалізуємих заходів та адаптацію системи ТЗІ до поточних задач захисту інформації, які виникають у певний час.
За результатами складається акт, приблизна форма якого наведена в додатку № 8.
6. Оформлення висновків по даній розрахунково-графічній роботі.
Оформлення додатків до розрахункової роботи.
Варіанти завдань.
Для зручності, при розробленні комплексної системи безпеки усі перераховані в таблиці варіанти об’єктів захисту уявно будемо розміщувати в приміщенні, яке знайоме студентам, наприклад аудиторія №607, 5-го навчального корпусу.
Таблиця №1.
Примітка 1. В усіх перерахованих виділених приміщеннях відбуваються конфіденційні розмови та переговори.
Примітка 2. Всі перераховані підприємства знаходяться на відстані більше 200 м. від представництв іноземних держав.
Ділись своїми роботами та отримуй миттєві бонуси!
0%
Оголошення від адміністратора