Подякувати Студентському архіву довільною сумою
Admin
26.02.2023 12:38
Дякуємо, що користуєтесь нашим архівом!
Розроблення комплексної системи безпеки підприємства.
Інформація про навчальний заклад
ВУЗ:
Національний університет Львівська політехніка
Інститут:
Не вказано
Факультет:
Не вказано
Кафедра:
Автоматики та телемеханіки
Інформація про роботу
Рік:
2005
Тип роботи:
Розрахунково - графічна робота
Предмет:
Організаційно-технічні засоби систем захисту інформації
Частина тексту файла (без зображень, графіків і формул):
Міністерство науки та освіти України
Національний університет „Львівська політехніка”
Інститут комп’ютерних технологій, автоматики та метрології
кафедра „Автоматика та телемеханіка”
Розрахунково-графічна робота
З дисципліни: ”Організаційно-технічні засоби систем захисту інформації” на тему “Розроблення комплексної системи безпеки підприємства”.
Виконав:
студент гр. ІБ
Прийняв:
ЛЬВІВ-2005
Розрахунково-графічна робота на тему “Розроблення комплексної системи безпеки приміщення”.
Завдання.
Розробити проект комплексної системи безпеки одного із виділених приміщень, в якому циркулює ІзОД. Приміщення, специфіка у використанні цього приміщення персоналом, перелік основних та допоміжних технічних засобів обробки, передавання та приймання інформації наведені у таблиці 1 та вибираються згідно варіанту. Допускаються зміни при виборі об’єкта захисту, за бажанням студента, які повинні узгоджуватись з викладачем.
ВАРІАНТ-№2
Визначення переліку об’єктів, які підлягають захисту.
Побудова моделей об’єктів.
Модель об'єкта захисту містить усебічні характеристики об'єкта захисту, що дозволяє органічно запровадити заходи безпеки в процес його функціонування на місці, в часі і відповідно до завдань, які вирішуються на об’єкті;
Основні технічні засоби, які знаходяться в приміщенні
Перелік ТЗПІ, які не є основними
Перелік додаткових технічних засобів
Загальна вартість обладнання складає 6800 у.о.
Визначення переліку загроз та аналіз ризиків з боку цих
загроз.
Побудова моделей загроз об’єктам захисту.
Загроза – будь-які обставини або події, що можуть бути причиною порушення безпеки об’єкта та нанесення збитків.
Модель загроз об'єкту захисту – містить аналіз можливого переліку загроз безпечному стану об'єкта захисту та їх джерел, а також аналіз ризиків з боку цих загроз відповідно до умов функціонування підприємства;
В залежності від виду об’єкту та специфіки його функціонування, по різному можуть проявляти себе і загрози, характерні для цього об’єкта.
Визначення та систематизація переліку загроз, які виникають у відповідності до кожної окремої сукупності об’єктів захисту, здійснюється виходячи із усіх можливих джерел виникнення загроз.
Побудова матриць загроз щодо
кожного об’єкту захисту.
А) Комп’ютерна техніка, супутникова система:
Б) Телефонна апаратура (системний телефон, міні АТС, 2 телефони підключені до АТС):
В) Окабелювання (телефонні лінії, лінії Ethernet):
Г) Електроживлення:
Д) Оргтехніка(ксерокс, касовий апарат, пристрій для підрахунку грошей), кондиціонер:
Е) Вікна,двері:
Побудова загальної матриці загроз
Визначення та походження загроз
2.2.Перелік каналів витоку інформації
2.3.ПОБУДОВА МОДЕЛІ ПОРУШНИКА.
Порушник - це особа, яка помилково, внаслідок необізнаності, цілеспрямовано, за злим умислом або без нього, використовуючи різні можливості, методи та засоби здійснила спробу виконати операції, які призвели або можуть призвести до порушення властивостей інформації, що визначені політикою безпеки.
Модель порушника відображає його практичні та потенційні можливості, апріорні знання, час та місце дії тощо.
Під час розробки моделі порушника визначаються:
припущення щодо категорії осіб, до яких може належати порушник;
припущення щодо мотивів дій порушника (цілей, які він переслідує);
припущення щодо рівня кваліфікації та обізнаності порушника та його технічної оснащеності (щодо методів та засобів, які використовуються при здійсненні порушень);
обмеження та припущення щодо характеру можливих дій порушників (за часом та місцем дії та інші).
В приміщенні філії банку періодично проводяться стратегічні наради, в ході яких обговорюється інформація з рівнем „Конфіденційно” і „Комерційна таємниця”. Крім того в ЛОМ постійно циркулює інформація конфідеційного характеру. Визначимо категорію осіб, до яких може належати порушник, що має намір отримати інформацію (вкрасти, підслухати та ін.), зіпсувати чи підробити дані .
Основні цілі порушника:
Безвідповідальність
Самоствердження
Корисливий інтерес
Професійний обов’язок
Основні кваліфікаційні ознаки порушника:
Знає функціональні особливості системи, основні закономірності формування масивів даних та потоків запитів до них, має навички щодо користування штатними засобами системи
Володіє високим рівнем знань та практичними навичками роботи з технічними засобами системи та їх обслуговування
Володіє високим рівнем знань у галузі програмування та обчислювальної техніки, проектування та експлуатації автоматизованих інформаційних систем
Знає структуру, функції й механізми дії засобів захисту, їх недоліки
Знає недоліки та “вади” механізмів захисту, які вбудовані у системне програмне забезпечення та його недокументовані можливості
Є розробником програмних та програмно-апаратних засобів захисту або системного програмного забезпечення
Характеристика можливостей порушника:
Використовує лише агентурні методи одержання відомостей
Використовує пасивні засоби (технічні засоби переймання без модифікації компонентів системи)
Використовує лише штатні засоби та недоліки системи захисту для її подолання (несанкціоновані дії з використанням дозволених засобів), а також компактні магнітні носії інформації, які можуть бути приховано пронесено крізь охорону
Застосовує методи та засоби дистанційного (з використанням штатних каналів та протоколів зв’язку) упровадження програмних закладок та спеціальних резидентних програм збору, пересилання або блокування даних, дезорганізації систем обробки інформації.
Застосовує методи та засоби активного впливу (модифікація та підключення додаткових технічних засобів, підключення до каналів передачі даних).
Щодо характеру дій порушника за часом і місцем, можемо відзначити такі пункти:
В неробочий час, під час перерв в роботі, перерв для обслуговування і ремонту
Без доступу на контрольовану територію організації
З контрольованої території без доступу у будинки та споруди
З робочих місць користувачів
З доступом у зони даних
Категорії порушників, визначених у моделі.
Політика безпеки.
3.Розроблення системи захисту об’єктів .
Основою функціонування системи заходів захисту інформації є комплексний план ТЗІ. На підставі аналізу матеріалів обстеження та окремих моделей загроз визначаються головні та часткові задачі захисту інформації, розробляється організаційні, первинні та основні технічні заходи щодо ТЗІ та вказівки про порядок їх реалізації.
а)З метою впорядкування нормативно-документальної бази органу, щодо якого
здійснюється ТЗІ повинні бути розроблені переліки наявних розпорядчих,
організаційно-методичних, нормативних документів щодо ТЗІ та вказівок щодо
їх використання. Одночасно розробляються та затверджуються керівництвом
інструкції, які встановлюють обов’язки, права та відповідальність особового
складу органу, щодо якого здійснюється ТЗІ. Реалізація цих заходів реалізується
на основі:
Закону України „Про інформацію”.
Закону України „Про захист інформації в автоматизованих системах”
Закону України „Про банки та банківську діяльність”(глава 10, статті 60-62).
б)Організаційні заходи передбачають:
1.Обмеження доступу осіб, в приміщення в яких відбувається обробка конфіденційної інформації.
2.Допуск до проведення задач на ЛОМ, що стосуються конфіденційної інформації перевірених осіб, та визначення порядку проведення робіт на ЛОМ.
3.Розміщення дисплея, клавіатури і копіювального пристрою так, щоб виключити перегляд посторонніми особами змісту оброблюваної інформації.
4.Постійний нагляд за роботою копіювального пристрою та інших пристроїв виводу на матеріальний носій цінної інформації.
5.Заборона ведення переговорів про безпосередній зміст конфіденційної інформації особам, зайнятим її обробкою.
в)Організаційно-технічні заходи передбачають:
Обмеження доступу всередину корпусу ЛОМ, шляхом встановлення механічних запірних засобів.
Знищення всієї інформації на вінчестері, при відправці в ремонт з використанням низькорівневого форматування.
Організацію живлення ЛОМ від загальної (міської) електромережі через стабілізатор напруги (мережевий фільтр) .
Розміщення дисплею, системного блоку, клавіатури і копіювального пристрою на відстані не менше 2,5-3,0 метрів від пристроїв освітлення, кондиціювання повітря, зв’язку (телефону), металевих труб, радіоприймача.
Встановлення копіювального пристрою, клавіатури на м’ягкі прокладки с ціллю зниження витоку інформації по акустичному каналу.
6. обмеження кола осіб, що мають доступ до інформації, яка
становить банківську таємницю;
7. організації спеціального діловодства з документами, що
містять банківську таємницю;
8. застосування технічних засобів для запобігання
несанкціонованому доступу до електронних та інших носіїв
інформації;
9. застосування застережень щодо збереження банківської
таємниці та відповідальності за її розголошення у договорах і
угодах між банком і клієнтом.
4.РЕАЛІЗАЦІЯ ПЛАНУ ЗАХИСТУ ІНФОРМАЦІЇ.
4.1.Комп’ютерна техніка:
1.Основним джерелом випромінювання високочастотних електромагнітних хвиль є монітор, зображення з нього можна отримувати на відстані кілька сотень метрів. Тому потрібно використати рідкокристалічні монітори.
2.Застосування блоків безперебійного живлення.
3.Дотримання основних сервісів безпеки при користуванні мережами(як локальною, так і глобальною):
- Ідентифікація та аутентифікація.
- Управління доступом.
- Аудит.
- Криптографія.
- Екранування.
4.Встановлення
антивірусного пакету Касперського.
міжмережевих екранів (Firewall) - для блокування атак з зовнішнього середовища (Cisco PIX Firewall, Symantec Enterprise FirewallTM, Contivity Secure Gateway та Alteon Switched Firewall від компанії Nortel Networks). Вони керують проходженням мережевого трафіку відповідно до правил (policies) захисту. Як правило, міжмережеві екрани встановлюються на вході мережі і розділяють внутрішні (приватні) та зовнішні (загального доступу) мережі;
систем виявлення вторгнень (IDS – Intrusion Detection System) - для виявлення спроб несанкціонованого доступу як ззовні, так і всередині мережі, захисту від атак типу "відмова в обслуговуванні" (Cisco Secure IDS, Intruder Alert та NetProwler від компанії Symantec). Використовуючи спеціальні механізми, системи виявлення вторгнень здатні попереджувати шкідливі дії, що дозволяє значно знизити час простою внаслідок атаки і витрати на підтримку працездатності мережі;
СОВА-PC - Комплексна система аудиту мережевих комп'ютерних робочих місць. Забезпечує таку функцію захисту як моніторинг обчислювальної системи, що дозволяє контролювати дії користувачів комп'ютерних мереж підприємства для протидії комерційному шпигунству
4.2.Засоби зв’язку, радіоприймач:
1.Використання приладу Sel SP-17/Т для подавлення роботи всіх підслуховуючих пристроїв.
4.3.Копіювальний пристрій:
1.Розташування пристрою для знищення паперу.
2.Використання функції лічильника копій.
4.3.Приміщення та кімнати:
1.Встановлення обмеження на доступ в кімнату в, якій знаходиться сервер та міні АТС. Вхід по ідентифікаційних картках.
2.Встановлення сигналізації, яка реагує на переміщення об’єктів.
3.Встановлення системи відео спостереження в операційному залі.Контроль здійснюється озброєним охоронцем.
4.Встановлення датчиків розбиття скла.
5.Встановлення сигналізації пожежної безпеки.
4.5.Територія:
1.Встановлення огорожі (сітки).
2.Регулювання вїзду на територію автомобілів працівників банку.(Вїзд відбувається за посвідченнями працівників банку).В’їзд регулюється охоронцем в КПП.
3.Ведення цілодобового відео спостереження території.
4.Керування системами сигналізації, відео спостереженням, пожежною сигналізацією здійснюється центром моніторингу системи.
4.6.Кабелі:
Встановлення екранованих коаксіальних кабелів .
4.7.Персонал:
1.Проведення роботи по ознайомленню персоналу з Законами України в галузі інформації.
2. Службовці банку при вступі на посаду підписують зобов'язання
щодо збереження банківської таємниці. Керівники та службовці
банків зобов'язані не розголошувати та не використовувати з
вигодою для себе чи для третіх осіб конфіденційну інформацію, яка
стала відома їм при виконанні своїх службових обов'язків.
3.Приватні особи та організації, які при виконанні своїх
функцій або наданні послуг банку безпосередньо чи опосередковано
отримали конфіденційну інформацію, зобов'язані не розголошувати цю
інформацію і не використовувати її на свою користь чи на користь
третіх осіб.
4. У разі заподіяння банку чи його клієнту збитків шляхом витоку
інформації про банки та їх клієнтів з органів, які уповноважені
здійснювати банківський нагляд, збитки відшкодовуються винними
органами.
5.КОНТРОЛЬ ФУНКЦІОНУВАННЯ І КЕРУВАННЯ СИСТЕМОЮ ТЗІ
Організується перспективне та поточне керування системою захисту ІзОД органу, щодо якого здійснюється ТЗІ, яке включає в себе постійний плановий контроль за актуальністю реалізуємих заходів та адаптацію системи ТЗІ до поточних задач захисту інформації, які виникають у певний час.
За результатами складається акт .
Висновок: В ході виконання даної розрахункової роботи був розроблений проект комплексної системи безпеки приміщення філії банку ”Укрконтиненталь”. Було проведено аналіз об’єктів, які підлягають захисту, перераховано можливі загрози і побудовано модель загроз і модель порушника. В результаті була отримана комплексна система захисту об’єктів і варіант реалізації плану захисту інформації.
ЗАТВЕРДЖУЮ
Директор
Нечай Олена Іванівна
АКТ ПРИЙМАННЯ РОБІТ
із захисту органу, щодо якого здійснюється ТЗІ від можливого витоку інформації
1. Описуються особливості територіального розташування органу, щодо якого здійснюється ТЗІ стосовно інших міських споруджень, сусідніх підприємств, установ та організацій, а також посольств, іноземним представництв, спільних підприємств та ін.
2. Уточнюються ступінь конфіденційності наявних в органі, щодо якого здійснюється ТЗІ робіт і число зайнятих на цих роботах осіб.
3. Дається опис контрольованої зони (зон) з посиланням на затверджену керівником органу, щодо якого здійснюється ТЗІ план-схему.
4. Перелічуються (чи робиться посилання на відповідний документ) виділені приміщення, інформаційні системи та спеціальні об’єкти.
5. Даються описи внутрішніх контрольованих зон з додатком переліку організаційних мір, який необхідно реалізовувати перед проведенням особливо важливих заходів.
6. Перелічуються основні технічні засоби та системи (при їхній наявності) із вказівкою організації, що дала висновок про можливість їхнього застосування для передачі, обробки і збереження конфіденційної інформації і дати видачі висновку. Вказується їхнє призначення, місце розташування й особливості експлуатації при проведенні закритих заходів.
7. Перелічуються допоміжні технічні засоби і вказується їхнє призначення.
8. Вказуються місця установки станційного обладнання систем зв’язку. Дається опис кабельного розведення допоміжних технічних засобів, при цьому виділяються ланцюги, кабелі і проводи, що ідуть за межі контрольованої зони.
9. Дасться опис і характерні риси систем електроживлення і заземлення основних і допоміжних технічних засобів і систем; під характерними рисами маються на увазі наступне: місця розташування трансформаторних підстанцій, навантаження фідерів живлення з указанням живлячих ліній, що виходять за межі контрольованої зони, пристрій захисного заземлення (занулення), чи сполучаються технологічне і захисне заземлення, де розташовуються контури, що заземлюють, чи виходять за межі контрольованих зон (зони) заземлюючі проводи і шини.
10. Приводиться перелік кінцевих пристроїв основних та допоміжних технічних засобів, розміщених у виділених приміщеннях.
11. Представляються результати аналізу можливих каналів витоку конфіденційної інформації.
При аналізі необхідно мати у виді, що легко піддаються впливу наступні компоненти технічних засобів:
– по електричних полях – усі неекрановані кінцеві пристрої допоміжних технічних засобів, ланцюги і проводи;
– по магнітних полях – кінцеві пристрої, що містять різного роду котушки індуктивності (трансформатори, реле, котушки дзвоників, дроселів);
– по звукових полях – пристрої, що мають мікрофонний ефект (наприклад, динамічні гучномовці, телефонні капсулі, електромагнітні реле, електричні дзвінки, вторинні електрогодинники).
Вказані пристрої і елементи допоміжних технічних засобів можуть призводити до виникнення каналів витоку, якщо ланцюги від них виходять за межі контрольованих зон або мають сумісний пробіг у загальному кабелі з ланцюгами, що ідуть за межі контрольованих зон.
Крім того, витік можливий при впливі електричних, магнітних і звукових полів на пристрої, що містять автогенератори (наприклад, телевізори, радіоприймачі).
12. Перелічуються реалізовані і намічені до реалізації (з вказуванням термінів виконання) захисні заходи щодо блокування можливих каналів витоку конфіденційної інформації за межі контрольованих зон (зони) і виділені приміщення, що пройшли атестацію.
На закінчення акта вказується, які можливі канали витоку конфіденційної інформації з виділених приміщень блоковані.
До складання акта залучаються представник адміністрації, відповідальний за внутріоб’єктовий режим, представник режимно-секретного відділу, керівник групи контролю, інші зацікавлені особи органу, щодо якого здійснюється ТЗІ.
З метою забезпечення належного режиму при проведені на підприємстві робіт і усунення можливих каналів витоку інформації з обмеженим доступом за рахунок технічних засобів
НАКАЗУЮ:
1. Обов’язки щодо організації робіт з технічного захисту інформації з обмеженим доступом органу, щодо якого здійснюється ТЗІ покласти на структурний підрозділ ТЗІ (особу). Обов’язки щодо контролю повноти та якості реалізованих заходів покласти на комісію підрозділу.
2. Затвердити перелік інформації з обмеженим доступом, яка наявна в органі, щодо якого здійснюється ТЗІ, додаток № ____ до наказу.
3. Затвердити перелік виділених приміщень, інформаційних систем, спеціальних об’єктів на яких утворюється, обробляється, зберігається, передається інформація з обмеженим доступом, додаток № ____ до наказу.
4. Начальнику підрозділу ТЗІ в термін до ________ представити мені для затвердження список осіб, відповідальних за забезпечення режиму у виділених приміщеннях, на об’єктах.
5. Встановити в органі, щодо якого здійснюється ТЗІ контрольовану зону (зони) відповідно до затвердженої мною планом-схемою, додаток № ____ до наказу.
6. Підрозділу ТЗІ вжити заходів, що виключають несанкціоноване перебування в контрольованій зоні сторонніх осіб і транспортних засобів.
7. Комісії з категоріювання провести категоріювання виділених об’єктів.
8. Підрозділу ТЗІ провести первинну атестацію виділених об’єктів, результат атестації зареєструвати в атестаційному паспорті виділеного приміщення (об’єкту, інформаційної системи).
9. Установити, що роботу з ІзОД допускається здійснювати тільки в приміщеннях, що пройшли атестацію.
10. При роботі з ІзОД дозволяється використовувати технічні засоби передачі, обробки і збереження інформації, що тільки входять у затверджений мною перелік (додаток № __ до наказу).
11. Для забезпечення захисту ІзОД від витоку з виділених приміщень за межі контрольованих зон певного підрозділу органу, щодо якого здійснюється ТЗІ (наприклад, головного енергетика) у цих приміщеннях провести захисні заходи відповідно до затвердженого мною плану-графіку (додаток № ___ до наказу).
11. Контроль за виконанням плану-графіка захисних заходів покласти на підрозділ ТЗІ.
12. На підрозділ ТЗІ покласти обов’язки з підготовки технічних засобів у виділених приміщеннях (якщо ці засоби вимагають попередньої підготовки) до проведення особливо важливих заходів.
13. Про проведення особливо важливих заходів відповідальним особам вчасно повідомляти підрозділ ТЗІ.
14. Начальнику підрозділу по завершенні організаційних, організаційно-технічних і технічних заходів для захисту об’єктів органу, щодо якого здійснюється ТЗІ провести перевірку заходів і представити мені Акт прийому робіт із захисту від можливого витоку ІзОД для узгодження і наступного затвердження.
15. Начальнику підрозділу разом із призначеними мною відповідальними за забезпечення режиму у виділених приміщеннях підготувати і представити мені на затвердження графік проведення періодичних атестаційних перевірок виділених приміщень і технічних засобів, що в них знаходяться.
16. Про всі виявлені при атестації й атестаційних перевірках порушення доповідати мені для вжиття оперативних заходів.
Ділись своїми роботами та отримуй миттєві бонуси!
0%
Оголошення від адміністратора