Подякувати Студентському архіву довільною сумою
Admin
26.02.2023 12:38
Дякуємо, що користуєтесь нашим архівом!
Розроблення комплексної системи безпеки підприємства.
Інформація про навчальний заклад
ВУЗ:
Національний університет Львівська політехніка
Інститут:
Не вказано
Факультет:
Не вказано
Кафедра:
Не вказано
Інформація про роботу
Рік:
2006
Тип роботи:
Розрахунково - графічна робота
Предмет:
Інші
Варіант:
7
Частина тексту файла (без зображень, графіків і формул):
Міністерство освіти і науки України
Національний Університет "Львівська політехніка"
Розрахунково-графічна робота
на тему “Розроблення комплексної системи безпеки підприємства”.
Варіант №7 план №7
Виконала:
ст. гр.ІБ
Прийняв:
Львів-2006р.
ЗМІСТ:
1. ВСТУП…………………………………………………………………………………………………………3
2. МЕТА РОБОТИ……………………………………………………………………………………………......3
3. ЗАВДАННЯ……………………………………………………………………………………………………3
4. ВИЗНАЧЕННЯ ПЕРЕЛІКУ ОБ’ЄКТІВ, ЯКІ ПІДЛЯГАЮТЬ ЗАХИСТУ.
ПОБУДОВА МОДЕЛЕЙ ОБ’ЄКТІВ………………………………………………………………………5
5. ВИЗНАЧЕННЯ ТА АНАЛІЗ ПОВНОЇ МНОЖИНИ ДЕСТАБІЛІЗУЮЧИХ
ФАКТОРІВ. ПОБУДОВА МАТРИЦІ ЗАГРОЗ…………………………………………………………….10
6. ПОБУДОВА МОДЕЛІ ПОРУШНИКА……………………………………………………………………..28
7. ПОЛІТИКА БЕЗПЕКИ……………………………………………………………………………………… 31
8. РОЗРОБЛЕННЯ СИСТЕМИ ЗАХИСТУ ОБ’ЄКТІВ…………………………………….............................33
9. РЕАЛІЗАЦІЯ ПЛАНУ ЗАХИСТУ ІНФОРМАЦІЇ………………………………………………………....36
10. КОНТРОЛЬ ФУНКЦІОНУВАННЯ І КЕРУВАННЯ СИСТЕМОЮ ТЗІ…………….……………………38
11. ВИСНОВОК………………………………………………………………………………………………….38
12. Н А К А З “ПРО ОРГАНІЗАЦІЮ ЗАХИСТУ ТЕХНІЧНИХ ЗАСОБІВ ОРГАНУ, ЩОДО ЯКОГО ЗДІЙСНЮЄТЬСЯ ТЗІ ВІД ВИТОКУ ІНФОРМАЦІЇ ТЕХНІЧНИМИ КАНАЛАМИ”.……..………….39
13. АКТ КАТЕГОРІЮВАННЯ ………………………………………………………………... ………………41
14. ПАСПОРТ НА ПРИМІЩЕННЯ…………………………………………………………………………….42
15. ДЛЯ СЛУЖБОВОГО КОРИСТУВАННЯ…………………………………………………………………44
16. АКТ ПРИЙМАННЯ РОБІТ…………………………………………………………………………………47
17. НАКАЗ ПРО ПРОВЕДЕННЯ ОБСТЕЖЕННЯ УМОВ ІНФОРМАЦІЙНОЇ ДІЯЛЬНОСТІ…………………………………………………………………………………........................48
18. ПЕРЕЛІК ІНФОРМАЦІЇ З ОБМЕЖЕНИМ ДОСТУПОМ ……………………………………………….50
19. АКТ ПРО ПОРЯДОК ТА ОРГАНІЗАЦІЮ ПРОВЕДЕННЯ РОБІТ НА КПП……………………………51
20. АКТ ПРО ПРОВЕДЕННЯ ПОЛІТИКИ БЕЗПЕКИ НА ЛАБОРАТОРІЇ МІКРОБІОЛОГІЇ……………..53
21. ПЛАН ПРОВЕДЕННЯ ЗАХИСНИХ ЗАХОДІВ ДЛЯ ЗАБЕЗПЕЧЕННЯ ЗАХИСТУ ІзОД ВІД ВИТОКУ ЗА МЕЖІ КОНТРОЛЬОВАНИХ ЗОН……………………………………………………………………...58
22. ПЛАН ОБ’ЄКТУ ЗАХИСТУ…………………………………………………………………………….. ...60
23. СПИСОК ВИКОРИСТАНОЇ ЛІТЕРАТУРИ………………………………………………………………..62
ВСТУП
Інформаційна сфера відіграє важливу роль у забезпеченні безпеки всіх сфер життєдіяльності суспільства. Через цю сферу реалізується значна частина загроз національній безпеці держави.
Одними з основних джерел загроз інформаційної безпеки є діяльність іноземних розвідувальних і спеціальних служб, злочинних співтовариств, організацій, груп, формувань, і протизаконна діяльність окремих осіб, спрямована на збір чи розкрадання цінної інформації, закритої для доступу сторонніх осіб. Причому в останні роки пріоритет у даній сфері діяльності зміщається в економічну область.
В останні роки для збору розвідувальної інформації використовуються портативні технічні засоби розвідки, тому захисту інформації від витоку по технічним каналам приділяється все більша увага.
Основними напрямками захисту інформації від витоку по технічних каналах є:
- запобігання витоку оброблюваної інформації за рахунок побічних електромагнітних випромінювань і наведень, створюваних функціонуючими технічними засобами, а також за рахунок електроакустичних перетворень;
- виявлення впроваджених на об’єкті й у технічні засоби електронних пристроїв перехоплення інформації (заставних пристроїв);
– запобігання перехоплення інформації за допомогою технічних засобів мовної інформації з приміщень і об’єктів.
РОЗДІЛ І. Завдання та мети розрахункової роботи
Завдання: розробити комплексну систему безпеки з урахуванням усіх можливих каналів витоку інформації. Для цього необхідно охарактеризувати модель порушника, вказуючи його наміри, мотивацію, рівень знань, характер та його інструментарій. Об’єкт, що підлягає захисту має містити детальний опис, схему розміщення обладнання, охоронної системи, склад персоналу, технічні засоби обробки та ЗІ, тип і рівень секретності інформації. Робота також має містити нормативно правову документацію, що чітко окреслює права, обов’язки, заборони та обмеження персоналу, їх дії при непередбачуваних або аварійних ситуаціях, інструкції щодо користування технічними засобами, самою системою охорони
Необхідно: визначити та проаналізувати повну множину дестабілізуючих факторів та побудувати матрицю загроз для лабораторії мікробіології (згідно 7 варіанту) розглянути всі варіанти виникнення загроз системі захисту інформації з обмеженим доступом, що циркулює в даному приміщені. Носієм інформації з обмеженим доступом є також синтезовані біологічні сполуки.
Мета: досягти необхідного рівня захищеності лабораторії мікробіології та її інформації, який давав би необхідну ефективність та співвідношення ціна/якість і унеможливлював проникнення на територію, будівлю до підприємства або ж доступ до її інформації.
ІІ. Побудова моделі об’єкту, що підлягає захисту.
До об’єктів, що підлягають захисту відносяться ті чи інші об’єкти, що мають пряме відношення до збереження, обробки, отримання та передавання, збереження цілісності інформаційної діяльності лабораторії мікробіології.
Інформація, що підлягає захисту: комерційна таємниця, а також носієм інформації з обмеженим доступом є синтезовані біологічні сполуки
Дані, отримані із супутникової системи спостереження у цифровому варіанті і синхронізуються та зберігаються в комп’ютерній мережі; результати проведених лабораторних робіт; моделі точних карт; службова інформація; бухгалтерські звіти та архів; інструкція користування професійним програмним забезпеченням, супутниковою системою та ТЗІ; ключі доступу до інформації та паролі.
Наказ керівника органу, щодо якого здійснюється ТЗІ, про проведення обстеження умов інформаційної діяльності та план роботи комісії подано в додатку №1.
Наказ керівника органу за результатом діяльності комісії, щодо якого здійснюється ТЗІ наведений у додатку №2 та відповідних додатках до цього наказу.
Під час впровадження заходів побудови системи ТЗІ складаються такі документи:
перелік відомостей, які містять інформацію з обмеженим доступом та підлягають захисту від витоку технічними каналами (див. додаток №1 до наказу 005/1);
перелік частини інформації, включеної до цього переліку, є власністю держави (державна таємниця), так і власністю підприємства (комерційна таємниця) і повинен відповідати “Зведеному переліку відомостей, що становлять державну таємницю” та переліку відомостей, що не становлять комерційну таємницю, затвердженому Постановою Кабінету Міністрів України;
перелік виділених приміщень, інформаційних систем, спеціальних об’єктів на яких утворюється, обробляється, зберігається, передається інформація з обмеженим доступом (див. додаток №2 до наказу 005/1);
переліки технічних засобів (ТЗПІ), які використовуються під час інформаційної діяльності органу, щодо якого здійснюється ТЗІ (для інформації з обмеженим доступом – “основні технічні засоби та системи”, далі по тексту – ОТЗ; для інформації загального користування – ТЗПІ, які не є основними).
план контрольованої зони органу, щодо якого здійснюється ТЗІ, на якому відображено генеральний план органу, щодо якого здійснюється ТЗІ, межа контрольованої зони на місцевості, місця з наявною інформацією з обмеженим доступом та відстані об’єктів від межі контрольованої зони (див. додаток №3 до наказу 005/1);
ОТЗ, якими унеможливлюється несанкціоноване перебування сторонніх осіб на території органу, щодо якого здійснюється ТЗІ:
контрольно-перепускні пости, технічні засоби охорони та сигналізації,
маршрути прямування транспортних засобів, біометричні системи
розпізнавання та перепустки;
акти категоріювання об’єктів, де циркулює ІзОД (див. додаток № 4).
Технологія функціонування ІС
Об’єктом комплексного захисту є лабораторія мікробіології, основні завдання та функції якої:
Проведення дослідів та експериментів;
Синтез біологічних сполук;
Аналіз біологічних речовин;
Обробка результатів експериментів;
Занесення даних в ПК та розповсюдження на локальну мережу;
Обмін даними з іншими лабораторіями мікробіології через мережу Інтернет.
В даному об’єкті циркулюють такі види інформації, що можуть бути віднесені до ІзОД:
електричні сигнали, що виділяються технічними пристроями;
акустичні сигнали, що виділяються під час роботи технічних засобів та засобів зв’язку і під час проведення нарад та розмов;
паперові носії;
дії робітників об’єкту.
До заданої ІС належать такі елементи:
ОТЗ
устаткування для аналізу та синтезу біологічних сполук;
три ПК (вихід в Інтернет через Dial – Up);
ТЗПІ
переговорний пристрій;
проводів телефон;
радіотелефон;
ксерокс;
сканер;
система супутникового телебачення(НВЧ-конвертор, параболічна антенна, ВЧ-кабель, тюнер);
вимірювальні прилади.
ДТЗС
лінії мережі електроживлення;
кондиціонер;
сторонні незадіяні дроти;
3 лампи денного світла;
іонізатор повітря;
лінії пожежної сигналізації.
Персонал також належить до об’єктів захисту.
У центрі досліджень є наявним такий персонал:
Системний адміністратор;
Користувачі;
Служба безпеки;
Технічний персонал ПЗ
Технічні працівники:
Прибиральниця;
слюсар по електриці;
слюсар по воді і каналізації;
На основі якого розділимо права доступу та повноваження до технічних засобів, виготовленої продукції і документації, яка стосується досліджень. Стороннім особам на територію вхід строго контролюється.
Права і обов’язки, а також, рівень доступу усіх 5-ох категорій персоналу описані в посадовій інструкції.
Посадова інструкція для персоналу лабораторії мікробіології
1. Загальні положення.
На території лабораторії мікробіології працюють:
Системний адміністратор;
Користувачі;
Служба безпеки;
Технічний персонал ПЗ;
Технічні працівники:
Прибиральниця;
Сантехнік;
Електрик.
Весь персонал лабораторії мікробіології, окрім СБ, має доступ на територію лише під час робочого дня, а працівники СБ знаходяться на території лабораторії мікробіології цілодобово.
2. Функціональні обов'язки персоналу.
До технічних працівників належать прибиральниця, слюсар по воді, електриці і каналізації. Опишемо їх функціональні обов'язки
Електрик повинен вчасно і ефективно вирішити неполадки електроживлення, забезпечити нормальне функціонування енергосистеми. Також до його функцій входить обслуговування трансформаторного підсилювача. Має доступ до любої кімнати, де розташований розподілювальний щиток чи знаходиться розетка(тому що, якщо зникло електроживлення, з’ясувавши причину його зникнення, він повинен знайти місце поломки ), проте проводити роботи він має право залежно від наданої йому категорії допуску до рівня напруги.
Сантехнік – це людина, яка стежить за належним станом каналізації і водопровідних систем. Має доступ до санвузлів та каналізаційних систем, до всіх приміщень де труби водопостачання виходять назовні (лабораторії, туалети тощо)
Прибиральниця відповідає за стан приміщення, його чистоту і естетичний вигляд, відповідно має доступ до кімнат об’єкту, які за нею закріплені, окрім приміщень з обмеженим доступом, де зберігається секретна інформація.
Користувачі – (для прикладу лаборант) - люди які допомагають здійсненню досліджень у технічних і документальних формах, мають певні навики по роботі з обладнанням і частковий доступ до даних. Основні функції користувача виконання експериментів, обробка та збереження їх результатів. Користувач має доступ безпосередньо в приміщення де працює.
Системний адміністратор - вповноважена керівником підприємства, згідно якого здійснюється ТЗІ, особа, що несе головну відповідальність за функціонування системи безпеки. На протязі робочого часу знаходиться у комп’ютерному відділі, з якого за допомогою спеціальних технічних засобів здійснює контроль функціонування системи захисту. Слід зазначити, що дана особа лише контролює стан цієї системи, доступ ж її до інформації, що охороняється визначається згідно встановлених правил. В можливі дії адміністратора входять відключення чи зміна функціонування системи безпеки, що може призвести до утворення каналів витоку ІзОД. Функції системного адміністратора підтримка працездатності мережі в цілому, та комп’ютерів зокрема, встановлення ПЗ, усунення неполадок пов’язаних з комп’ютерною технікою. Він має доступ до приміщень, де розташовані комп’ютери та інша офісна техніка (ксерокс, сканер тощо).
Служба безпеки – особи, що відповідають за фізичну охорону приміщення і доступ до нього, а також контролює доступ тих чи інших осіб і засобів(автомобілів) на її територію згідно встановлених правил. Може здійснювати візуальний нагляд периметру території за допомогою систем відео спостереження.
Основними функціями СБ є:
Захист території, приміщення та секретної інформації;
організація перевірок надійності функціонування СЗ;
навчання користувачів і персоналу АС правилам безпечної обробки інформації;
контроль за дотриманням користувачами і персоналом АС встановлених правил поводження з інформацією, яка захищається, в процесі її автоматизованої обробки;
вживання заходів при спробах НСД до інформації і при порушеннях правил функціонування системи захисту.
Працівники СБ мають доступ до всіх приміщень лабораторії мікробіології та можуть перевіряти будь-кого з персоналу лабораторії задля визначення факту порушення безпеки об’єкту та інформації
Технічний персонал – особи, що займаються наладкою програмного забезпечення, встановленням певних пакетів та програм.
Весь персонал має право доступу в кімнату особистої гігієни та приймальну кімнату, гардероб.
3. Права
Працівники СБ мають права контролювати переміщення персоналу по території, давати їм доручення та завдання з низки питань, що входять у його функціональні обов'язки та припиняти будь-які дії працівників або технічних пристроїв якщо є загроза безпеці інформації. Також може контролювати дотримання персоналом своїх обов’язків та політики безпеки лабораторії.
Користувачі та системний адміністратор можуть звертатись до СБ задля отримання доступу в приміщення з ОД та надання ІзОД.
Технічні працівники можуть звертатись до працівників інших підрозділів для отримання доступу до певних приміщень.
4. Відповідальність
Всі працівники лабораторії мікробіології несуть відповідальність за невиконання своїх функціональних обов’язків, за надання недостовірної інформації що може призвести до помилок, збої або відмови ІС, за невиконання наказів та розпоряджень вищого керівництва, за недотримання дисципліни та програми безпеки лабораторії .
5. Право підпису. Умови роботи
Режим роботи працівників визначається відповідно до Правил внутрішнього трудового розпорядку, установлених в лабораторії. Працівникам для забезпечення їх діяльності надається право підпису організаційно-розпорядчих документів з питань, що входять у їх функціональні обов'язки. При необхідності користувачам, системному адміністратору та працівникам СБ може надаватись службовий транспорт якщо він треба для прямого виконання функціональних обов’язків.
Аналіз умов розташування об’єкта інформаційної діяльності:
Дане приміщення не знаходиться на відстані меншій 200 м. від представництв іноземних держав тому цей фактор дозволяє не використовувати особливих умов для проектування системи безпеки.
ПК об’єднані в локальну мережу з виділенням одного комп’ютера під сервер. Через сервер здійснюється доступ до глобальної мережі Інтернет. Комп’ютери ПК1 та ПК2 мають однакову конфігурацію, технологію функціонування та однаковий набір програм для користувачів, що необхідні для обробки результатів дослідів. Переговорний пристрій, радіо- та проводовий телефон виконують телекомунікаційні функції. Устаткування і вимірювальні прилади призначені для аналізу та синтезу біологічних сполук та проведення необхідних вимірювань. Ксерокс та сканер, система супутникового телебачення використовують лише в межах їх функціонального призначення. Лампи денного світла, іонізатор повітря та кондиціонер використовуються безпосередньо в лабораторіях мікробіології для створення специфічних кліматичних умов для виконання дослідів.
Внаслідок наявності вище перерахованих елементів ІС виникають такі канали витоку інформації: акустичний, електричний та оптичний. Через дані канали можуть реалізовуватись такі типи загроз:
через апаратуру - копіювання вихідних документів, магнітних та інших носіїв інформації; використання закладних та дистанційних підслуховуючих пристроїв; відключення або вивід з ладу підсистем забезпечення функціонування обчислювальних систем; оглядання даних, що роздруковуються, читання залишених без догляду віддрукованих на принтері документів; оглядання даних, що виводяться на екран; прослуховування мережі за допомогою програмних або програмно-апаратних аналізаторів тощо.
через середовище - пожежа, повінь, землетрус, шквал, вибух; вологість, запиленість, зміни температури; аварія систем життєзабезпечення; відмови систем живлення, систем забезпечення нормальних умов роботи апаратури та персоналу; збої систем живлення, систем забезпечення нормальних умов роботи апаратури та персоналу тощо.
через персонал - дії щодо дезорганізації функціонування системи; несанкціоновані зміни, підміна елементів програм, елементів баз даних, апаратури, магнітних носіїв; використання вад мов програмування, ОС; несанкціоноване використання робочих станції, терміналів ЛОМ та технічних пристроїв; копіювання вихідних документів, магнітних та інших носіїв інформації тощо.
через програмне забезпечення - відмови програм; помилки програм; ураження програмного забезпечення комп’ютерними вірусами; несанкціонований дистанційний доступ до ЛОМ та переадресація передачі даних; прослуховування мережі за допомогою програмних або програмно-апаратних аналізаторів тощо.
Цей список не є вичерпним і може бути доповнений.
ІІІ. Визначення та аналіз загроз об’єктам захисту та безпосередньо інформації. Побудова моделі загроз.
Загроза – будь-які обставини або події, що можуть бути причиною порушення безпеки об’єкта та нанесення збитків.
Модель загроз об'єкту захисту містить аналіз можливого переліку загроз безпечному стану об'єкта захисту та їх джерел, а також аналіз ризиків з боку цих загроз відповідно до умов функціонування підприємства.
В залежності від виду об’єкту та специфіки його функціонування, по різному можуть проявляти себе і загрози, характерні для цього об’єкта.
Визначення та систематизація переліку загроз, які виникають у відповідності до кожної окремої сукупності об’єктів захисту, здійснюється виходячи із усіх можливих джерел виникнення загроз. При наступному уточненні можливих загроз, головну увагу потрібно концентрувати на інформаційних сигналах та полях, середовищі їх поширення та засобах їх обробки. Тому перелік можливих загроз інформаційним ресурсам та засобам їх обробки визначається виходячи із можливих шляхів утворення каналів витоку інформації та можливих випадкових та навмисних впливів на інформаційні системи.
Усі загрози ТЗІ та ІзОД відносяться до трьох головних категорій: природні, ненавмисні та навмисні.
Природні загрози. Ці загрози наражають на небезпеку кожне підприємство чи частину устаткування: пожежі, повені, збої електроживлення, та інші нещастя. Ви не можете завжди запобігати таким нещастям, але Ви можете швидко з'ясовувати, якщо це відбувається (з пожежною системою, температурними датчиками, та захисними пристроями електроживлення). Ви можете мінімізувати шанс збитку, викликаного несприятливими подіями (наприклад, деякими типами систем вогнегасіння). Ви можете створювати політику безпеки, що вживає заходів проти усіляких видів небезпек для комп'ютерів подібно палінню, проливанню напоїв на електронне устаткування, і т.д. Ви можете також планувати нещастя (копіюючи критичні дані для використання в резервній
системі, що буде використовуватися в критичних ситуаціях).
Ненавмисні загрози. Цей вид загроз виникає в результаті некомпетентних дій, наприклад, користувача чи адміністратора системи, що не був навчений належним образом, не мають документацію та не розуміють важливість належних процедур захисту. Користувач може занижувати гриф таємності даних, пробувати використовувати пакет бази даних, щоб виконати просту модифікацію чи зіпсувати файл. Адміністратор системи може стати користувачем, що має широкі можливості доступу, та змінювати захист на файлі паролю чи на критичному системному програмному забезпеченні. Через неуцтво різного роду користувачів зруйноване та загублено багато більше коштовної інформації,
чим через злочинні наміри.
Навмисні загрози. Ці загрози цікаві та заслуговують висвітлення в печаті. Проти них створені кращі програми захисту. Злочинці входять у дві категорії: сторонні та присвячені особи. Деякі типи неправомочних дій здійсненні тільки деякими типами злочинців. Наприклад, перехоплення та декодування електромагнітних випромінювань, чи виконання визначеного криптографічного аналізу можуть виконувати тільки так називані "висококваліфіковані злочинці", що мають істотні ресурси обчислювальних засобів,
грошей, часу та персоналу.
Для інформації, загрози можуть здійснюватися такими каналами витоку інформації:
- технічними каналами, що включають канали побічних електромагнітних випромінювань і наводів, акустичні, оптичні, радіотехнічні, хімічні та інші канали;
- каналами спеціального впливу шляхом формування полів і сигналів з метою руйнування системи захисту або порушення цілісності інформації;
- несанкціонованим доступом шляхом підключення до апаратури та ліній зв’язку, маскування під зареєстрованого користувача, подолання заходів захисту для використання інформації або нав’язування хибної інформації, застосування закладних пристроїв чи програм та вкорінення комп’ютерних вірусів.
- внаслідок різноманітних впливів природного походження (природні катастрофи, кліматичні умови).
- випадкових чи навмисних впливів техногенного походження.
- канал спеціального впливу нештатними програмними і/або програмно-технічними засобами на елементи обладнання, програми, дані та процеси в АС, що встановлюються в процесі її експлуатації, з метою реалізації будь-яких з основних видів загроз для інформації та ін.
Визначення типів дестабілізуючих факторів
Дестабілізуючі фактори – це такі явища чи події, що можуть з’явитися на будь-якому етапі життєвого циклу АС і наслідком яких можуть бути загрози інформації. На основі аналізу архітектури, технології та умов функціонування АС та всіх можливих в принципі ДФ вводиться поняття типу дестабілізуючого фактора, що дає можливість класифікувати ДФ за способами їх реалізації. Така класифікація ДФ є вичерпною. Виділяють такі типи ДФ:
кількісна недостатність – фізична недостача компонентів АС для забезпечення необхідного рівня захищеності оброблювальної інформації;
якісна недостатність – недосконалість конструкції чи організації компонентів АС, внаслідок чого не забезпечується необхідний рівень захищеності оброблювальної інформації;
відмова елементів АС – порушення працездатності елементів, що призводить до неможливості виконання ними своїх функцій;
збій елементів АС – тимчасове порушення працездатності елементів, що призводить до неправильного виконання ними в цей момент своїх функцій;
помилки елементів АС – неправильне (одноразове чи систематичне) виконання елементами своїх функцій внаслідок специфічного (постійного і/або тимчасового) їхнього стану;
стихійні лиха – випадкові неконтрольовані явища, що призводять до фізичних руйнувань;
злочинні дії – дії людей, що спеціально спрямовані на порушення захищеної інформації;
побічні явища – явища, що супроводжують виконання елементом АС своїх функцій.
Типи ДФ ІС вцілому – це узагальнені типи, що визначаються типами окремих елементів ІС (визначені в таблицях відносно кожної кімнати лабораторії мікробіології)
В загальному випадку типи ДФ ІС будуть визначатися сумою типів ДФ ПК, устаткування для синтезу та аналізу біологічних сполук, переговорного пристрою, радіо – та проводового телефонів, ксерокс, сканера, системи супутникового телебачення, кабелів ліній електроживлення і пожежної сигналізації, ламп денного світла , іонізатора повітря та кондиціонера. В результаті отримаємо:
Кількісна недостатність – це крадіжка технічних засобів (системний блок, жорсткий диск), офісної техніки, ламп, кабелів та їх частин; крадіжка носіїв інформації (жорстких дисків та паперових документів); крадіжка безпосередньо інформації.
Якісна недостатність – це підміна та модифікація ОС, ПЗ, інформації , пристроїв та їх частин.
Збій – це зміна швидкості обробки інформації; пропускної здатності каналів зв’язку; об’єму оперативної пам'яті та жорсткого диску; електроживлення технічних засобів та ПЗ.
Помилки – помилки при інсталювані ПЗ, ОС, при написані ПЗ, при експлуатації ПК, при експлуатації технічних пристроїв та засобів.
Відмови – виникають знищення ОС, ПЗ, засобів обробки інформації, устаткування, технічних пристроїв та їх елементів, інформації, персоналу.
Стихійні лиха – це катастрофи: землетруси, пожежі, повені, урагани та інші форс-мажорні обставини.
Злочині дії – знищення, крадіжка та підміна устаткування, кабелів, технічних пристроїв, ОС, ПЗ та ПК; встановлення закладок" інсталяція шкідливих програм; перехоплення інформації, пере направлення трафіку.
Побічні дії – зняття ПЕМВН з кабелів, з’єднувальних дротів, ПК, телефонних апаратів, мережі електроживлення, засобів освітлення, пристроїв системи супутникового телебачення, труб систем опалення та водопостачання.
Проаналізуємо усі дестабілізуючі фактори для ІС, які можуть виникнути по відношенню персоналу до елементів системи життєдіяльності, які знаходяться на подвір’ї лабораторії мікробіології.
Матриці загроз пов’язані з трансформаторною підстанцією.
Оскільки решта членів персоналу не має доступу до ТП, то об’єднаємо їх і напишемо спільні матриці загроз.
Розглянемо матриці загроз пов’язані з КПП відносно усіх членів персоналу.
Оскільки усі інші працівники лабораторії мають однакові права і обов’язки та вповноваження щодо КПП напишемо для них загальну матрицю.
Проаналізуємо можливі загрози інформаційній системі відносно люку водопостачання.
Оскільки усі інші члени персоналу діють в межах своїх чітко визначених повноважень, то вони не можуть здійснити вплив на інформаційну систему, використовуючи при цьому якимось чином люк водопостачання.
Розглянемо матриці загроз ІС при цьому аналізуючи відношення до цього впливу каналізаційного люку.
Так як всі інші члени персоналу в силу своїх повноважень не мають права доступу до каналізаційного люку, то вони і не можуть вплинути через нього на ІС, тому матриці загроз такого характеру не розглядаємо.
При побудові матриць загроз по відношенню вікон, дверей, стін чи стелі та діючого персоналу необхідно прийняти до уваги такі зауваження:
вікна мають відбиваючі властивості поверхні скла, тому піддаються лазерному прослуховуванню та перегляду приміщення сторонніми особами;
стіни сприяють розповсюдженню акустичних хвиль в твердому матеріалі та несанкціонованому доступу в приміщення сторонніх осіб. На стінах розташовані такі прилади: іонізатор повітря, кондиціонер, локальна мережа, мережа електроживлення, сторонні не задіяні дроти;
двері сприяють розповсюдження акустичних хвиль в твердому матеріалі та несанкціонованому доступу в приміщення сторонніх осіб;
на стелі згідно варіанту №7 розміщені : пожежна сигналізація, три лампи денного освітлення.
ПУНКТ А)
Розглянемо кімнату №1.
Приймальна кімната + гардероб + службове приміщення. Проходить мережа електроживлення і пожежна сигналізація. Призначена для прийому відвідувачів та персоналу, зберігання їхнього одягу, а також може використовуватись з метою обліку робочого часу працівників лабораторії мікробіології. Закріплені за цією кімнатою технічні працівники – прибиральниця, сантехнік, електрик. Категорія захисту – 1, умови доступу вільні.
Розглянемо матриці загроз по відношенню до цієї кімнати, персоналу, що в ній сидить, технічних пристроїв тут розміщених, стосовно вікон, дверей, стін і стелі. Для цього на плані вони пронумеровані, згідно визначеної для цієї кімнати категорії захисту.
Вплив на ІС здійснюється через 3 вікна №1, розміщених в кімнаті №1:
Примітка:
1.Члени персоналу, використовуючи вікна №1 не зможуть здійснити загрозу ІС лабораторії, оскільки не реалізується акустичний і оптичний канали витоку інформації (немає жодних технічних пристроїв) Проте можна реалізувати мережевий канал і канал заземлення, адже в кімнаті №1 проходить мережа електроживлення і мережа пожежної сигналізації.
.2. якщо вплив на ІС здійснюється через двері №1, що знаходяться в кімнаті №1, то
в даному випадку, ввійшовши в кімнату №1 через двері №1, жоден з членів персоналу не зможе створити загрозу для ІС. Аналогічно, використовуючи стіни і стелю, з метою реалізації загрози ІС.
Матриця загроз відносно технічних пристроїв, розміщених в кімнаті №1, враховуючи попередні висновки та матриці загроз по відношенню до закріпленого тут персоналу:
ПУНКТ Б)
Об’єднаємо кімнати №2 та №3 для розгляду матриць загроз, оскільки в них однакове функціональне призначення (проводяться дослідження), відповідно категорія захисту(5) та закріплені одні і ті ж працівники (керівник лабораторії і головний лаборант)
№2 Лабораторія мікробіології. Тут знаходяться такі пристрої як одна лампа денного освітлення та вимірювальні прилади. Для очищення повітря та створення сприятливої мікрофлори тут також розміщений іонізатор повітря Проходить мережа електроживлення і пожежна сигналізація. Закріплений за цією кімнатою – керівник лабораторії. Категорія захисту – 5, умови доступу – за спеціальними документами.
№3 Відділ досліджень – кімната, де усі проведені в лабораторії мікробіології досліди обробляються, досліджуються і аналізуються. Тут знаходиться один персональний комп’ютер, що входить в локальну мережу, устаткування для аналізу і синтезу біологічних сполук, радіотелефон, кондиціонер, одна лампа денного світла. Проходить мережа електроживлення і пожежна сигналізація..
До приміщення мають санкціонований доступ користувачі (лаборанти, доктори наук, професори мікробіології та інші), частковий доступ - технічні працівники і працівники ПЗ та звичайно працівники СБ, що володіють більш широкими по відношенню до інших членів персоналу правами санкціонованого доступу. Відповідальний за відділ досліджень головний лаборант. Категорія захисту – 5, умови доступу – за спеціальними перепустками.
Вплив на ІС здійснюється через 2 вікна №5, розміщених в кімнатах №2,3 :
2. Вплив на ІС здійснюється через троє дверей №5, що в кімнатах №2 та №3:
3. Вплив на ІС здійснюється через стіни кімнат №2 і №3:
4. Вплив на ІС здійснюється через стелю кімнат №2 і №3:
Матриця загроз відносно технічних пристроїв, розміщених в кімнаті №2 , враховуючи попередні висновки та матриці загроз по відношенню до закріпленого тут персоналу:
Матриця загроз відносно технічних пристроїв, розміщених в кімнаті №3, враховуючи попередні висновки та матриці загроз по відношенню до закріпленого тут персоналу:
ПУНКТ В)
Проаналізуємо кімнату № 4.
Кімната особистої гігієни. Сюди має санкціонований доступ весь персонал лабораторії мікробіології. Проходить мережа електроживлення і пожежна сигналізація. Знаходиться розподільчий щиток електроенергії. Закріплена за цією кімнатою прибиральниця. Вона відповідає за її естетичний стан і чистоту. Категорія захисту -0, умови доступу – вільні.
При аналізі цієї кімнати матриці загроз відносно 3х вікон №0 та дверей №0, а також стін і стелі можна зробити висновок, що жоден з членів персоналу не зможе реалізувати загрозу ІС. Тут може реалізуватися лише мережений канал витоку інформації і канал заземлення (наведення).
Матриця загроз відносно технічних пристроїв, розміщених в кімнаті №4, враховуючи попередні висновки та матриці загроз:
ПУНКТ Г)
Розглянемо кімнату №5.
Серверна кімната – кімната, де зберігаються усі документи та інформація, збережена на різних її носіях. Для доступу в цю кімнату існує обмежений доступ, яким володіють системний адміністратор, працівники СБ, тобто люди, що мають певні повноваження, зазначені в їх посадових інструкціях. Доступ відбувається за спеціальними документами. Проходить мережа електроживлення і пожежна сигналізація. Тут розташовані сервер, який з’єднаний з двома іншими комп’ютерами в локальну мережу і має вихід в Інтернет через Dial – Up і проводовий телефон. Несе відповідальність керівник. Категорія захисту -5.
Вплив на ІС здійснюється через 1 вікно №5 кімнати №5:
2. Вплив на ІС здійснюється через двері №5 кімнати №5:
3. Вплив на ІС здійснюється через стіни кімнати №5:
4. Вплив на ІС здійснюється через стелю кімнат №5:
Матриця загроз відносно технічних пристроїв, розміщених в кімнаті №5, враховуючи попередні висновки та матриці загроз по відношенню до закріпленого тут персоналу:
ПУНКТ Д)
При аналізі кімнати №6 необхідно зазначити, що це прохідна кімната до сервера. Таке розміщення підвищує захист сервера від несанкціонованих дій.
Кімната СБ. В цій кімнаті розміщено переговорний пристрій, проведена електромережа та пожежна сигналізація. Доступ мають працівники служби безпеки. Категорія захисту – 4. Доступ лише за спеціальними перепустками.
1. Вплив на ІС здійснюється через вікно №4 кімнати №6:
2. Вплив на ІС здійснюється через двері №4 кімнати №6:
3. Вплив на ІС здійснюється через стіни кімнати №6:
4. Вплив на ІС здійснюється через стелю кімнат №6:
Матриця загроз відносно технічних пристроїв, розміщених в кімнаті №1, враховуючи попередні висновки та матриці загроз по відношенню до закріпленого тут персоналу:
ПУНКТ Е)
Розглядаємо кімнату №7 і всі можливі варіації загроз ІС.
Комп’ютерний відділ . В цьому приміщенні ми розташовуємо такі технічні пристрої як один персональний комп’ютер, що входить до складу локальної мережі. Також у цій кімнаті поставимо ксерокс, сканер, тюнер, сателітну антену, одну лампу денного освітлення. Проходить мережа електроживлення і пожежна сигналізація.
До цієї кімнати мають доступ такі члени персоналу як системний адміністратор, працівники ПЗ та СБ, та частковий доступ користувачі та технічний персонал. За кімнатою №2 закріплений і несе відповідальність системний адміністратор та голова СБ. Категорія захисту – 3
Вплив на ІС здійснюється через 2 вікна №3 кімнати №7:
2. Вплив на ІС здійснюється через двері №3 кімнати №7:
Вплив на ІС здійснюється через стіни кімнати №7:
4. Вплив на ІС здійснюється через стелю кімнат №7:
Матриця загроз відносно технічних пристроїв, розміщених в кімнаті №1, враховуючи попередні висновки та матриці загроз по відношенню до закріпленого тут персоналу:
Побудова моделі порушника
Порушник - це особа, яка помилково, внаслідок необізнаності, цілеспрямовано, за злим умислом або без нього, використовуючи різні можливості, методи та засоби здійснила спробу виконати операції, які призвели або можуть призвести до порушення властивостей інформації, що визначені політикою безпеки.
Модель порушника відображає його практичні та потенційні можливості, апріорні знання, час та місце дії тощо.
Модель порушника – це абстрактний формалізований або неформалізований опис порушника. Модель порушника відображає його практичні та потенційні можливості, апріорні знання, час та місце дії тощо.
Під час розробки моделі порушника визначаються:
припущення щодо категорії осіб, до яких може належати порушник;
припущення щодо мотивів дій порушника (цілей, які він переслідує);
припущення щодо рівня кваліфікації та обізнаності порушника та його технічної оснащеності (щодо методів та засобів, які використовуються при здійсненні порушень);
обмеження та припущення щодо характеру можливих дій порушників (за часом та місцем дії та інші).
Усі злочинці складають ряд різних категорій:
Агенти іноземної розвідки: не ховаються за кожним чагарником, але вони дійсно існують!
Терористи: комп'ютерний тероризм не має занадто широкого поширення, хоча офіційно зареєстровано кілька нападів на університетські комп'ютерні центри, силові служби, установи суду, та ін.
Різнорідний тип злочинців: комп'ютерний злочин прибутковий, і на відміну від багатьох інших типів злочинів, може бути виконаний охайним, анонімним електронним способом. Ціль може бути пряме злодійство, розтрата чи деякого виду вимагання, наприклад, якщо злочинець не одержує грошей чи влаштування на роботу, він встановлює довільний вірус та сповіщає про це.
Загальні грабіжники: усе більш корпорації покладаються на комп'ютери, мереживі підключення, та електронну пошту. Загальні звіти, записки, та неофіційні повідомлення стали більш уразливими, чим коли-небудь, до нападів конкурентів.
Зломщики програмного захисту: стосується осіб, які більше зацікавлені процесом злому чим, результатами перемоги. Ці втручання можуть переглядати системи, цікаві дані та програми, але вони звичайно не користаються цим для грошово-кредитної чи політичної вигоди. Більш типово для них те, що вони зламують системи для нанесення поразки кожній новій системі захисту, з якими вони ще не зіштовхувалися.
Присвячені особи: сторонні можуть проникати в системи такими способами як замаскований вхід під експлуатуючий персонал, анонімний електронний вхід через модеми та мережні підключення, хабарництво чи примус внутрішнього персоналу. Хоча більшість механізмів захисту діє найкраще проти зовнішніх втручань, статистичний аналіз вказує, що більшість нападів відбувається присвяченими особами. По результатам аналізу, 80 відсотків від системних проникнень відбуваються цілком уповноваженими користувачами, що порушують свої привілеї доступу, виконують неправомочні функції. Мається ряд різних типів присвячених осіб. Звільнений чи розсерджений службовець може пробувати захоплювати коштовну інформацію; більш імовірно, він тільки дає вихід помсті, руйнуючи конторські операції. Примушеного службовця можуть шантажувати чи підкупити іноземні чи ворожі агенти. Жадібний службовець може використовувати свою поінформованість, щоб відхилити фонди замовника для персональної вигоди. Присвячене особи, наприклад, оператор, програміст системи навіть чи випадковий користувач, що бажає спільно використовувати чужий пароль у своїх цілях. Одним з найбільш небезпечних присвячених осіб може просто бути ледачим чи непідготовленим. Він ігнорує паролі, не вивчає, як зашифрувати файли, залишає роздруківку з критичною інформацією на підлоги, у кошику зі сміттям. Більш енергійні типи можуть скористатися цією лінню та завдавати серйозної шкоди. Часто, найбільш ефективні системні напади поєднують сильну зовнішню стратегію (наприклад, входження у файли конкурентів, щоб захопити їхні маркетингові плани) з доступом присвяченим особам (наприклад, маркетинговий помічник, що був підкуплений, щоб віддати пароль чи інформацію).
Як видно з даної моделі можливих комбінацій порушників щодо АС є дуже багато, крім того, можлива змова порушників і виникнення змішаної моделі, прогнозування якої є більш складнішим, тому зупинимося лише на найнебезпечніших. Виділимо кілька можливих типів порушників, на які повинна бути орієнтована система захисту, що проектується. З внутрішніх по відношенню до АС порушників найбільшу загрозу, як не дивно, несуть співробітники служби захисту інформації та керівники різних рівнів посадової ієрархії. Саме ці особи мають найбільший рівень доступу до елементів АС, і відповідно до інформації, що в ній знаходиться. Тому однією з основних вимог в побудові системи захисту в майбутньому є обмеження цих повноважень і затвердження відповідальності за їх порушення в офіційній документації.
З зовнішніх по відношенню до АС порушників особливу увагу слід звернути на хакерів і співробітників закордонних спецслужб. Оскільки дане підприємство займається дослідженням біологічних сполук, його діяльність може викликати значний інтерес з боку інших держав. Потрібно налагодити особливий відбір осіб у персонал АС. Значну увагу також слід приділити системі захисту ЛОМ від НСД.
ІV. Політика безпеки
Під поняттям політики безпеки інформації розуміється організована сукупність документованих керівних рішень, спрямованих на захист інформації та асоційованих з нею ресурсів сист...
Ділись своїми роботами та отримуй миттєві бонуси!
0%
Оголошення від адміністратора