Подякувати Студентському архіву довільною сумою
Admin
26.02.2023 12:38
Дякуємо, що користуєтесь нашим архівом!
Розроблення комплексної системи безпеки підприємства
Інформація про навчальний заклад
ВУЗ:
Національний університет Львівська політехніка
Інститут:
Не вказано
Факультет:
Не вказано
Кафедра:
Автоматики
Інформація про роботу
Рік:
2004
Тип роботи:
Розрахунково - графічна робота
Предмет:
Захист інформації
Частина тексту файла (без зображень, графіків і формул):
Міністерство науки та освіти України
Національний університет „Львівська політехніка”
Інститут комп’ютерної техніки, автоматики та метрології
кафедра захисту інформації
Розрахунково-графічна робота
на тему “Розроблення комплексної системи безпеки підприємства”.
Львів – 2004 Розрахунково-графічна робота на тему “Розроблення комплексної системи безпеки приміщення”.
Завдання.
Розробити проект комплексної системи безпеки одного із виділених приміщень, в якому циркулює ІзОД. Приміщення, специфіка у використанні цього приміщення персоналом, перелік основних та допоміжних технічних засобів обробки, передавання та приймання інформації наведені у таблиці 1 та вибираються згідно варіанту. Допускаються зміни при виборі об’єкта захисту, за бажанням студента, які повинні узгоджуватись з викладачем.
Теоретичні відомості та деякі рекомендації для виконання роботи.
Поетапність у розробленні системи захисту об’єкта визначена необхідністю комплексного вирішення проблеми з одного боку, а з іншого боку – дає можливість заощадити матеріальні ресурси, які виділяються на побудову системи захисту.
На кожному етапі повинні бути виконані процеси збирання та підготовлення даних, їх аналіз і прийняття рішення. При цьому результати виконаного на певному етапі аналізу і прийняті на їх підставі рішення слугують вихідними даними для аналізу на наступному етапі. На будь-якій стадії або будь-якому етапі може постати необхідність уточнення початкових умов і повернення на більш ранні етапи.
Процес проектування комплексної системи безпеки підприємства чи ж виділеного приміщення включає в себе наступні етапи:
Визначення переліку об’єктів, які підлягають захисту. Побудова моделей об’єктів.
Модель об'єкта захисту містить усебічні характеристики об'єкта захисту, що дозволяє органічно запровадити заходи безпеки в процес його функціонування на місці, в часі і відповідно до завдань, які вирішуються на об’єкті;
У загальному випадку число моделей має відповідати кількості об’єктів, які підлягають захисту.
При наявності кількох однотипних об’єктів достатньо однієї спільної моделі для цих всіх об’єктів, яка включає в себе характеристики цих об’єктів.
Можне виділити чотири основні класи об’єктів, які підлягають захисту.
Після визначення переліку об’єктів, які підлягають захисту, необхідно провести категорювання цих об’єктів згідно із ступенем важливості. В більшості випадків, віднесення об’єкта до тієї чи іншої категорії здійснюється виходячи із життєвого досвіду. Деякі рекомендації щодо класифікації автоматизованих систем обробки даних, які відносяться до підкласу технічних засобів обробки та захисту інформації, наведені в нормативному документі НД ТЗІ 2.5-005 -99 „Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу”.
2. Визначення переліку загроз та аналіз ризиків з боку цих загроз. Побудова моделей загроз об’єктам захисту. Побудова моделі порущника.
Загроза – будь-які обставини або події, що можуть бути причиною порушення безпеки об’єкта та нанесення збитків.
Модель загроз об'єкту захисту – містить аналіз можливого переліку загроз безпечному стану об'єкта захисту та їх джерел, а також аналіз ризиків з боку цих загроз відповідно до умов функціонування підприємства;
В залежності від виду об’єкту та специфіки його функціонування, по різному можуть проявляти себе і загрози, характерні для цього об’єкта.
Визначення та систематизація переліку загроз, які виникають у відповідності до кожної окремої сукупності об’єктів захисту, здійснюється виходячи із усіх можливих джерел виникнення загроз. При наступному уточненні можливих загроз, головну увагу потрібно концентрувати на інформаційних сигналах та полях, середовищі їх поширення та засобах їх обробки. Тому перелік можливих загроз інформаційним ресурсам та засобам їх обробки визначається виходячи із можливих шляхів утворення каналів витоку інформації та можливих випадкових та навмисних впливів на інформаційні системи.
-технічними каналами, що включають канали побічних електромагнітних випромінювань і наводів, акустичні, оптичні, радіотехнічні, хімічні та інші канали;
- каналами спеціального впливу шляхом формування полів і сигналів з метою руйнування системи захисту або порушення цілісності інформації;
- несанкціонованим доступом шляхом підключення до апаратури та ліній зв’язку, маскування під зареєстрованого користувача, подолання заходів захисту для використання інформації або нав’язування хибної інформації, застосування закладних пристроїв чи програм та вкорінення комп’ютерних вірусів.
- внаслідок різноманітних впливів природного походження (природні катастрофи, кліматичні умови).
- випадкових чи навмисних впливів техногенного походження.
Опис загроз і схематичне подання шляхів їх здійснення складають окрему модель загроз.
Конструктивним шляхом створення моделі загроз є формування окремих моделей загроз для кожної компоненти системи (зокрема, для АС -центральний вузел АС, абоненти регіонального рівня, канал зв'язку та вузол зв'язку з регіональними абонентами, вузол зв'язку з Internet) та типових об'єктів захисту (робочих станцій, серверів, мережевого обладнання ЛОМ обробки даних, ЛОМ прийняття рішень тощо). Формування окремих моделей загроз повинно здійснювати на підставі загальної класифікації загроз інформації та загальній моделі порушника.
На протязі життєвого циклу кожної автоматизованої системи (АС), в тому числі і АС, модель загроз необхідно переглядати у зв'язку з модернізацією та розвитком АС, а також періодично, у зв'язку з удосконаленням технічних та програмних засобів подолання механізмів захисту.
Перелік можливих загроз інформації, яка обробляється в автоматизованій системі та циркулює у зв’язку з цим у відповідних приміщеннях, наводиться у додатку 1. В графі “Наслідки” приведені основні властивості інформації та відповідної автоматизованої системи, порушення яких можливо при реалізації загроз.
Порушник - це особа, яка помилково, внаслідок необізнаності, цілеспрямовано, за злим умислом або без нього, використовуючи різні можливості, методи та засоби здійснила спробу виконати операції, які призвели або можуть призвести до порушення властивостей інформації, що визначені політикою безпеки.
Модель порушника відображає його практичні та потенційні можливості, апріорні знання, час та місце дії тощо.
Під час розробки моделі порушника визначаються:
припущення щодо категорії осіб, до яких може належати порушник;
припущення щодо мотивів дій порушника (цілей, які він переслідує);
припущення щодо рівня кваліфікації та обізнаності порушника та його технічної оснащеності (щодо методів та засобів, які використовуються при здійсненні порушень);
обмеження та припущення щодо характеру можливих дій порушників (за часом та місцем дії та інші).
Відносно АС порушники можуть бути внутрішніми (з числа персоналу або користувачів системи) або зовнішніми (сторонніми особами). Визначення категорій порушників наведено у додатку 2. В таблицях 3-7 наведені специфікації моделі порушника за мотивами здійснення порушень, за рівнем кваліфікації та обізнаності щодо АС, за показником можливостей використання засобів та методів подолання системи захисту, за часом дії, за містом дії. У графі “Рівень загроз” зазначених таблиць наведені у вигляді відносного ранжування оцінки можливих збитків, які може заподіяти порушник за умови наявності відповідних характеристик. Рівень збитків характеризується наступними категоріями:
1 – незначні; 2 – допустимі; 3 – середні; 4 – дуже значні.
Категорії порушників, визначених у моделі, специфікація моделі порушника за мотивами здійснення порушень, специфікація моделі порушника за рівнем кваліфікації та обізнаності щодо АС, специфікація моделі порушника за показником можливостей використання засобів та методів подолання системи захисту, специфікація моделі порушника за часом дії та специфікація моделі порушника за місцем дії наведені у додатку 2.
Модель порушника, яка побудована з урахуванням особливості конкретної автоматизованої системи, технологій обробки інформації, складу технічного персоналу та користувачів, характеризується сукупністю значень характеристик, що наведені у додатку 2. Сукупність цих характеристик визначає профіль можливостей порушника.
Організаційно-правове забезпечення системи захисту та вибір технічних засобів необхідних для захисту об’єктів.
На цьому етапі необхідно визначити стратегію і тактику захисту об’єктів.
стратегія захисту об'єкта - містить концептуальні підходи до організації захисту об'єкта відповідно до умов життєдіяльності даного підприємства;
тактика захисту об'єкта - містить конкретні організаційні і технічні рішення по захисту об'єкта, що реалізують безпечний режим функціонування об'єкта захисту.
Нормативно-правове забезпечення систем захисту.
Для ефективної розробки і функціонування системи безпеки необхідно опиратися на чинні законодавчі акти, укази, постанови (розпорядження) Уряду України, а також враховувати результати законотворчої діяльності в країні в галузі інформатизації і захисту інформації.
До основних базових законів, що визначають правову основу функціонування системи безпеки в умовах виробничої і фінансово-економічної діяльності, відносяться:
Закони України:
“Про інформацію”;
“Про державну таємницю”;
“Про власність”;
“Про захист інформації в автоматизованих системах”;
“Про банки і банківську діяльність”;
“Про внесення змін до Кодексу України про адміністративні правопорушення щодо встановлення відповідальності за порушення законодавства про державну таємницю”;
Крім цього необхідно враховувати деякі нормативні документи та стандарти, перелік яких є в додатку 3, та низку інших законодавчо-нормативних актів, які потрібно враховувати при побудові системи безпеки об`єктів.
Технічне забезпечення систем захисту, вибір технічних засобів необхідних для захисту об’єктів.
Захист персоналу.
До групи співробітників, що може служити об'єктом протиправних дій, відноситься та її частина, що за родом своєї діяльності:
- розпоряджається значними матеріальними (фінансовими) ресурсами (наприклад, касир, інкасатор, продавець, сторож і т.п.);
-контролює працездатність систем і засобів захисту різного виду і рівня (наприклад, адміністратор мережі (безпеки) і т.п.) і ін.
Тому, якщо в приміщенні, систему безпеки якого необхідно побудувати, знаходяться люди, які ведуть подібну діяльність, то необхідно передбачити відповідні засоби безпеки.
Захист інформаційних ресурсів.
В приміщеннях, які підлягають захисту можуть знаходитись технічні засоби прийому, обробки, збере ження та передачі інформації (ТЗПІ) та допоміжні технічні засоби і системи (ДТЗС), тому дамо коротке роз’яснення для цих понять.
Сис теми і засоби, що безпосередньо обробляють інформацію, віднесену до державної таємниці, а також конфіденційну інформацію часто називають основними технічними засобами прийому, обробки, збере ження та передачі інформації (ОТЗ). До них відносять засоби і системи інформатизації (засоби обчислювальної техніки, інфо рмаційно – обчислювальні комплекси, мережі і системи), програмні засоби (операційні системи, системи керування базами даних, інше загальносистемне і прикладне програмне забезпечення), автоматизовані системи ке рування, системи зв'язку і передачі даних, технічні засоби прийому, пере дачі й обробки інформації з обмеженим доступом, їх інформативні фізичні поля.
Технічні засоби і системи, що не відносяться до засобів і систем інфор матизації (ТЗПІ), але розміщені в приміщеннях, у яких обробляється інформація з обмеженим доступом. Такі технічні засоби і системи назива ються допоміжними технічними засобами і системами (ДТЗС). До них відносяться: системи пожежної й охоронної сигналізації, допоміжні сигнальні лінії, сторонні незадіяні провідники, електропобутові прилади і т.д., а також самі приміщення, при значені для обробки інформації з обмеженим доступом.
При виборі технічних засобів захисту, необхідних при побудові системи безпеки об’єкта, можна скористатися переліком сертифікованих технічних засобів, рекомендованих для організації охорони об’єктів та діяльності підрозділів охорони. Цей перелік надається викладачем в окремому додатку.
Хід виконання роботи.
1. Формулювання завдання та мети розрахункової роботи.
Визначення переліку об’єктів, які підлягають захисту. Побудова моделей об’єктів.
На цьому етапі визначається перелік об’єктів, які потребують захисту. Далі для кожного об’єкта складається його модель, при наявності кількох об’єктів одного типу складається одна спільна модель.
Побудову системи захисту інформаційних масивів (системи ТЗІ) розпочинаються наказом керівника органу, щодо якого здійснюється ТЗІ про проведення обстеження умов інформаційної діяльності. Наказ встановлює:
персональний склад комісії;
мету роботи комісії;
терміни виконання робіт.
Після призначення комісія складає план своєї роботи, який затверджується керівником органу, щодо якого здійснюється ТЗІ.
За результатами роботи комісії складається наказ керівника органу, щодо якого здійснюється ТЗІ. Приблизний зміст наказу наведений у додатку № 4.
Під час впровадження заходів першого етапу побудови системи ТЗІ в органі, щодо якого здійснюється ТЗІ складаються такі документи:
Перелік відомостей, які містять інформацію з обмеженим доступом та підлягають захисту від витоку технічними каналами.
Інформація, включена до цього переліку, може бути як власністю держави (державна таємниця), так і власністю органу, щодо якого здійснюється ТЗІ (комерційна таємниця). Такий перелік повинен відповідати “Зведеному переліку відомостей, що становлять державну таємницю” та переліку відомостей, що не становлять комерційну таємницю, затвердженому Постановою Кабінету Міністрів України.
Перелік виділених приміщень, інформаційних систем, спеціальних об’єктів на яких утворюється, обробляється, зберігається, передається інформація з обмеженим доступом.
Переліки технічних засобів (ТЗПІ), які використовуються під час інформаційної діяльності органу, щодо якого здійснюється ТЗІ (для інформації з обмеженим доступом – “основні технічні засоби та системи”, далі по тексту – ОТЗ; для інформації загального користування – ТЗПІ, які не є основними).
План контрольованої зони органу, щодо якого здійснюється ТЗІ, на якому відображаються:
генеральний план органу, щодо якого здійснюється ТЗІ;
межа контрольованої зони на місцевості;
місця, де наявна інформація з обмеженим доступом;
відстані об’єктів від межі контрольованої зони;
Організаційно-технічні засоби, якими унеможливлюється несанкціоноване перебування сторонніх осіб на території органу, щодо якого здійснюється ТЗІ (контрольно-перепускні пости, технічні засоби охорони та сигналізації, маршрути прямування транспортних засобів, інше).
Акти категоріювання об’єктів, де циркулює ІзОД. Акти складаються за формою наведеною у додатку № 5.
Визначення та аналіз загроз об’єктам захисту та безпосередньо інформації. Побудова моделі загроз. Побудова моделі порушника.
На цьому етапі визначається перелік загроз матеріальним ресурсам, персоналу та інформаційним масивам, проводиться аналіз можливих ризиків з боку цих загроз, будується модель порушник.
Загалом цей етап можна розбити на наступні кроки:
Аналіз умов розташування об’єкта інформаційної діяльності.
На даному етапі проводиться аналіз розташування об’єкта захисту відносно інших об’єктів та будівель. Особливо важливо враховувати наявність поблизу приміщення, яке підлягає захисту будівель іноземних представництв. При розташуванні іноземних представництв на відстані ближче ніж 200 м. від межі контрольованої зони, виникають особливі умови для проектування системи захисту.
Визначення та аналіз загроз матеріальним ресурсам підприємства. Побудова відповідної моделі загроз.
Визначення та аналіз загроз персоналу. Побудова моделі загроз персоналу об’єкта захисту.
Визначення та аналіз загроз ІзОД ,яка циркулює на об’єкті захисту. Побудова моделі загроз.
Побудова моделі порушника.
Приклад окремої моделі загроз для інформації з обмеженим доступом, що циркулює на об’єктах
інформаційної діяльності наведений у окремому додатку, який додається викладачем.
Розроблення системи захисту об’єктів.
На даному етапі проводиться вибір засобів захисту адекватних загрозі. При цьому система безпеки, побудована на вибраних засобах захисту повинна відповідати певним вимогам, бути:
безперервною, плановою, централізованою, цілеспрямованою, конкретизованою, активною, надійною, універсальною, комплексною.
Для випадку, коли об’єктом захисту виступає інформація, основою функціонування системи заходів є комплексний план ТЗІ. На підставі аналізу матеріалів обстеження та окремих моделей загроз (на об’єкті, щодо якого здійснюється ТЗІ може бути складена загальна модель) визначаються головні та часткові (біжучі) задачі захисту інформації, розробляються організаційні, первинні та основні технічні заходи щодо ТЗІ та вказівки про порядок їх реалізації.
З метою впорядкування нормативно-документальної бази органу, щодо якого здійснюється ТЗІ повинні бути розроблені переліки наявних розпорядчих, організаційно-методичних, нормативних документів щодо ТЗІ та вказівок щодо їх використання. Одночасно розробляються та затверджуються керівництвом інструкції, які встановлюють обов’язки, права та відповідальність особового складу органу, щодо якого здійснюється ТЗІ.
Розробляється та затверджується встановленим порядком календарний план ТЗІ.
4. Реалізація плану захисту інформації.
На цьому етапі здійснюються організаційні, первинні та основні технічні заходи захисту ІзОД. Організаційні та первинні технічні заходи ТЗІ проводяться одночасно і є першим етапом роботи, основні технічні заходи – наступним.
Докладний зміст вказаних заходів наведений в ДСТУ 3396.1-96. “Захист інформації. Технічний захист інформації. Порядок проведення робіт”.
За результатами реалізації структурний підрозділ ТЗІ розробляє:
“Атестаційний паспорт” об’єкту. Типова форма паспорту наведена у додатку № 7;
5. Контроль функціонування і керування системою ТЗІ.
Організується перспективне та поточне керування системою захисту ІзОД органу, щодо якого здійснюється ТЗІ, яке включає в себе постійний плановий контроль за актуальністю реалізуємих заходів та адаптацію системи ТЗІ до поточних задач захисту інформації, які виникають у певний час.
За результатами складається акт, приблизна форма якого наведена в додатку № 8.
6. Оформлення висновків по даній розрахунково-графічній роботі.
Оформлення додатків до розрахункової роботи.
Варіанти завдань.
Для зручності, при розробленні комплексної системи безпеки усі перераховані в таблиці варіанти об’єктів захисту уявно будемо розміщувати в приміщенні, яке знайоме студентам, наприклад аудиторія №607, 5-го навчального корпусу.
Таблиця №1.
№ п/п
Назва об’єкту (виділеного приміщення)
Перелік ОТЗ, які знаходяться в приміщенні
Перелік ТЗПІ, які не є основними
Перелік ДТЗС
Інформація, яка підлягає захисту
1
Лабораторія для розроблення та виготовлення ПЛМ
Три персональні комп’ютери з’єднані в локальну мережу (з виходом в Інтернет), програматор ПЛМ, комплекс для тестування ПЛМ, зовнішній модем, принтер, сигнальні лінії мережі Ethernet
Проводовий телефон радіотелефон, вимірювальні прилади, музичний центр, радіоприймач, сканер, телевізор, відеоплеєр
Лінії пожежної сигналізації, кабелі телефонного зв’язку, лінії мережі електроживленя,
пристрій для знищення паперу, настільна лампа, мікрохвильова піч
Інформація стосовно досліджень, які проводяться в лабораторії, частина з якої є інформацією для службового користування
2
Приміщення філії банку “Укрконтиненталь”
Локальна обчислювальна мережа з трьох комп’ютерів (з виходом в Інтернет), супутникова система типу Point-to-point, виділена телефонна лінія між філією та центральним офісом, сигнальні лінії мережі Ethernet
Внутрішня МініАТС, системний телефон та два телефони підключені до МініАТС,
радіоприймач, ксерокс
кабелі телефонного зв’язку, лінії мережі електроживленя, пристрій для підрахунку грошей, касовий апарат, кондиціонер
Комерційна таємниця банку, інформація для службового користування
3
Лабораторія приладів для високоточних вимірювань
Чотири персональні комп’ютери з’єднані в локальну мережу (з виходом в Інтернет), спеціальні вимірювальні прилади, комплекс випробування приладів, принтер, сигнальні лінії локальної мережі Ethernet, переговорний пристрій
Проводовий телефон та радіотелефон, вимірювальні прилади, сканер, відеомагнітофон,
кабелі телефонного зв’язку, лінії мережі електроживленя, пристрій для знищення паперу, мікрохвильова піч, кондиціонер, лінії пожежної сигналізації
Інформація стосовно досліджень, які проводяться в лабораторії, частина з якої є інформацією для службового користування та державною таємницею
4
Філія інформаційно-аналітичного центру соціологічних досліджень
Чотири персональні комп’ютери з’єднані в локальну мережу (з виходом в Інтернет), зовнішній модем, принтер, виділена телефонна лінія між філією та центральним офісом, сигнальні лінії мережі Ethernet
Переговорний пристрій, внутрішня МініАТС, системний телефон та два телефони підключені до МініАТС,
телефакс, сканер, система супутникового телебачення (НВЧ-конвертор, параболічна антена, ВЧ-кабель, тюнер)
Лінії пожежної сигналізації,
кабелі телефонного зв’язку, лінії мережі електроживлення, чотири лампи денного світла, сторонні незадіяні дроти
Інформація стосовно соціологічних досліджень та опитувань, частина з якої є інформацією для службового користування
5
Науковий центр по дослідженню напівпровідникових матеріалів
П’ять персональних комп’ютерів з’єднаних в локальну мережу з комп’ютером виділеним під сервер (є вихід в Інтернет), спеціальні вимірювальні прилади, комплекс для дослідження матеріалів, сигнальні лінії мережі Ethernet, принтер
Переговорний пристрій, проводовий телефон та радіотелефон, вимірювальні прилади, сканер, ксерокс, система супутникового телебачення (НВЧ-конвертор, параболічна антенна, ВЧ-кабель, тюнер)
Кабелі телефонного зв’язку, лінії мережі електроживлення, три лампи денного світла, кондиціонер, сторонні не задіяні дроти
Інформація стосовно досліджень, які проводяться в центрі, частина з якої є інформацією для службового користування та державною таємницею
6
Центр дослідження полімерних сполук
Локальна обчислювальна мережа з чотирьох комп’ютерів, один з яких є сервером (з виходом в Інтернет), телефонний комутатор, модем, комплекс для дослідження полімерних сполук, принтер, виділена телефонна лінія між центральним офісом та філіями, сигнальні лінії мережі Ethernet, принтер
Внутрішня МініАТС, системний телефон та два телефони підключені до МініАТС,
телефакс, вимірювальні прилади, сканер
кабелі телефонного зв’язку, лінії мережі електроживлення, пристрій для знищення паперу, сторонні не задіяні дроти
Інформація стосовно досліджень, які проводяться в центрі, частина з якої є інформацією для службового користування та державною таємницею
7
Лабораторія мікробіології
Устаткування для аналізу та синтезу біологічних сполук, три персональні комп’ютери з’єднаних в локальну мережу з комп’ютером виділеним під сервер (є вихід в Інтернет через Dial-Up)
Переговорний пристрій, проводовий телефон та радіотелефон, вимірювальні прилади, сканер, ксерокс, система супутникового телебачення (НВЧ-конвертор, параболічна антенна, ВЧ-кабель, тюнер)
Лінії мережі електроживлення, три лампи денного світла, кондиціонер, лінії пожежної сигналізації, сторонні не задіяні дроти, іонізатор повітря
Комерційна таємниця. Носієм інформації з обмеженим доступом є також синтезовані біологічні сполуки
8
Хімічна лабораторія
Устаткування для аналізу та синтезу хімічних сполук,
три персональні комп’ютери з’єднаних в локальну мережу з комп’ютером виділеним під сервер (є вихід в Інтернет через Dial-Up)
Внутрішня МініАТС, системний телефон та два телефони підключені до МініАТС,
радіоприймач, ксерокс, телевізор, відеоплеєр
кабелі телефонного зв’язку, лінії мережі електроживлення, пристрій для знищення паперу, сторонні не задіяні дроти, дві лампи денного світла, кондиціонер, дві настільні лампи
Державна таємниця. Носієм інформації з обмеженим доступом є також синтезовані хімічні сполуки
9
Центр космічної геодезії
Чотири персональні комп’ютери з’єднані в локальну мережу (з виходом в Інтернет), зовнішній модем, приймальна телефонний комутатор, система супутникової навігації, принтер, виділена телефонна лінія між центральним офісом та філіями, сигнальні лінії мережі Ethernet
Проводовий телефон та радіотелефон, вимірювальні прилади, сканер, ксерокс, радіоприймач, вимірювальні прилади
кабелі телефонного зв’язку, лінії мережі електроживлення, пристрій для знищення паперу
Інформація стосовно досліджень, які проводяться в центрі, частина з якої є інформацією для службового користування та державною таємницею
Примітка 1. В усіх перерахованих виділених приміщеннях відбуваються конфіденційні розмови та переговори.
Примітка 2. Всі перераховані підприємства знаходяться на відстані більше 200 м. від представництв іноземних держав.
Додаток 1.
Позначення загроз
Тип та визначення загроз
Джерело загроз
Наслідки
Конф.
Ціл.
Дост.
Спост.
Загрози природного походження
1
Катастрофа
Пожежа, повінь, землетрус, шквал, вибух
Середовище
+
+
2
Умови
Вологість, запиленість, зміни температури
Середовище
+
+
Випадкові загрози техногенного походження
3
Вібрація
Вібрація
Апаратура
+
+
4
Перешкоди
Небажаний вплив процесів один на одного
Апаратура
+
+
5
ЕМС
Зовнішні електромагнітні випромінювання (електромагнітна сумісність)
Апаратура
+
+
6
Аварія
Аварія систем життезабезпечення.
Середовище
+
+
7
Відмова-Л
Відмови (повний вихід з ладу, систематичне неправильне виконання своїх функцій) людей.
Люди
+
+
+
8
Відмова-А
Відмови основної апаратури, систем передавання даних, носіїв інформації
Апаратура
+
+
+
9
Відмова-П
Відмови програм.
Програми
+
+
+
10
Відмова-З
Відмови систем живлення, систем забезпечення нормальних умов роботи апаратури та персоналу (електроживлення, охолодження та вентиляції, ліній зв’язку тощо).
Середовище, апаратура
+
+
11
Збій-А
Збої основної апаратури систем передавання даних
Апаратура
+
+
+
+
12
Збій-З
Збої систем живлення, систем забезпечення нормальних умов роботи апаратури та персоналу
Середовище, апаратура
+
+
13
Помилка-Л
Випадкові помилки користувачів, обслуговуючого персоналу, помилкове конфігурування та адміністрування системи
Люди
+
+
+
+
14
Помилка-П
Помилки програм
Програми
+
+
+
+
15
Недбалість
Недбале зберігання та облік документів, носіїв інформації
Люди
+
+
+
+
16
Поломка-А
Поломка апаратури.
Люди
+
+
+
17
Поломка-Н
Пошкодження носіїв інформації.
Люди, апаратура
+
+
18
Вірус
Ураження програмного забезпечення комп’ютерними вірусами.
Люди, програми
+
+
+
+
Навмисні загрози техногенного походження дистанційної дії
19
Підключення
Підключення до каналів зв’язку через штатні або спеціально розроблені апаратні засоби (в тому числі підключення через установлені модемні, факс-модемні плати).
Люди, аппаратура, програми
+
+
20
ПЕМВ
Одержання інформації по каналу побічного електромагнітного випромінювання основних технічних засобів (пристроїв наочного відображення, системних блоків, периферійної апаратури, апаратури зв’язку, ліній зв’язку, кабелів).
Апаратура
+
21
Е-Наводи
Одержання інформації по каналу паразитних наведень у системах каналізації, у мережах теплопостачання, у системах вентиляції, в шинах заземлення, в мережах живлення, в колах телефонізації.
Апаратура
+
22
Вібро-акустика
Одержання інформації по вібро-акустичному каналу з використанням лазерних пристроїв зняття інформації
Апаратура
+
23
Спецвплив
Одержання інформації по каналам спеціального впливу (електромагнітне та високочастотне опромінювання об’єкту захисту)
Апаратура
+
24
Е-імпульс
Використання електромагнітних імпульсів з метою зруйнування інформації, засобів її обробки та збереження
Апаратура
+
+
25
Підслуховування-Т
Прослуховування телефонних розмов.
Апаратура Люди
+
26
Оптика
Використання оптичних засобів, дистанційне фотографування.
Апаратура
+
27
НСД-ЛОМ
Несанкціонований дистанційний доступ до ЛОМ
Апаратура, програми, люди
+
+
+
+
28
Переадресація
Переадресація (зміна маршруту) передачі даних.
Люди, програми
+
+
+
29
Нав’язування
Нав’язування хибної інформації під ім’ям авторизованого користувача
Люди, програми
+
+
Навмисні загрози техногенного походження контактної дії
30
Прослуховування
Прослуховування мережі за допомогою програмних або програмно-апаратних аналізаторів.
Апаратура, програми
+
+
31
Читання-С
Читання “сміття” (залишкової інформації з запам’ятовуючих пристроїв).
Апаратура, програми Люди
+
32
Читання-Е
Оглядання даних, що виводяться на екран.
Люди, апаратура
+
33
Читання-Д
Оглядання даних, що роздруковуються, читання залишених без догляду віддрукованих на принтері документів.
Люди, апаратура
+
34
Відключення-З
Відключення або вивід з ладу підсистем забезпечення функціонування обчислювальних систем (електроживлення, охолодження та вентиляції, ліній зв’язку тощо).
Люди, апаратура, програми
+
+
35
Пошкодження
Фізичне зруйнування системи (внаслідок вибуху, підпалення и т.ін.), пошкодження всіх або окремих найбільш важливих компонентів АС (пристроїв, носіїв важливої системної інформації, осіб з числа персоналу і т.ін.), систем електроживлення тощо.
Люди
+
+
36
Закладка
Використання закладних та дистанційних підслуховуючих пристроїв.
Люди, апаратура
+
37
Випитування
Провокування до розмов осіб, що мають відношення до АС.
Люди
+
+
38
Копіювання
Копіювання вихідних документів, магнітних та інших носіїв інформації (у тому числі при проведенні ремонтних та регламентних робіт з ГМД)
Апаратура, програми, люди
+
39
Розкрадання
Розкрадання магнітних носіїв та документів (оригінали і копії інформаційних матеріалів, ГМД, стриммерних стрічок), виробничих відходів (відбитків, записів, носіїв інформації т.ін.), отримання необлікованих копій.
Люди
+
40
Імітація
Незаконне одержання паролів та інших реквізитів розмежування доступу (агентурним шляхом, внаслідок недбалості користувачів, підбором, імітацією інтерфейсу системи тощо) з наступним маскуванням під зареєстрованого користувача ("маскарад").
Люди, програми
+
+
+
41
НСД-РС
Несанкціоноване використання робочих станції та терміналів ЛОМ.
Люди програма,
+
+
+
+
42
НСД-П
Несанкціоноване використання технічних пристроїв (модем, апаратний блок кодування, перефірійні пристрої).
Люди програма,
+
+
+
43
Взлом
Обхід механізмів захисту з метою забезпечити в подальшому псевдосанкціонований доступ порушника.
Люди програма,
+
+
+
44
Перехоплення
Перехоплення паролів програмою-імітатором, перехоплення повідомлень.
Люди, програми
+
+
+
+
45
Закладка-П
Включення в програми програмних закладок типу “троянський кінь”, “бомба” тощо.
Люди Програми
+
+
+
+
46
Вади
Використання вад мов програмування, операційних систем (у тому числі параметрів системи захисту, встановлених “за умовчанням”).
Люди, програми
+
+
+
+
47
Підміна
Несанкціоновані зміни, підміна елементів програм, елементів баз даних, апаратури, магнітних носіїв.
Люди, програми
+
+
+
+
48
Дезорганізація
Дії щодо дезорганізації функціонування системи (зміна режимів роботи пристроїв та програм, страйк, саботаж персоналу, постановка потужних активних завад на частотах роботи пристроїв системи й т.ін.)
Люди, програми
+
+
49
Вербування
Вербування персоналу або окремих користувачів, які мають певні повноваження
Люди
+
+
Додаток 2.
Категорії порушників, визначених у моделі.
Таблиця 1
Позначення
Визначення категорії
Рівень загрози
Внутрішні по відношенню до АС
ПВ1
Технічний персонал, який обслуговує будови та приміщення (електрики, сантехніки, прибиральники тощо), в яких розташовані компоненти АС
1
ПВ2
Персонал, який обслуговує технічні засоби (інженери, техніки)
2
ПВ3
Користувачі (оператори) АС
2
ПВ4
Співробітники підрозділів (підприємств) розробки та супроводження програмного забезпечення
3
ПВ5
Адміністратори ЛОМ
3
ПВ6
Співробітники служби захисту інформації
4
ПВ7
Керівники різних рівнів посадової ієрархії
4
Зовнішні по відношенню до АС
ПЗ1
Будь-яки особи, що знаходяться за межами контрольованої зони.
1
ПЗ2
Відвідувачі (запрошені з деякого приводу)
2
ПЗ3
Представники організацій, що взаємодіють з питань технічного забезпечення (енерго-, водо-, теплопостачання і таке інше)
2
ПЗ4
Хакери
3
ПЗ5
Співробітники закордонних спецслужб або особи, які діють за їх завданням
4
Специфікація моделі порушника за мотивами здійснення порушень.
Таблиця 2
Позначення
Мотив порушення
Рівень загрози
М1
Безвідповідальність
1
М2
Самоствердження
2
М3
Корисливий інтерес
3
М4
Професійний обов’язок
4
Специфікація моделі порушника за рівнем кваліфікації та обізнаності щодо АС .
Таблиця 3
Позначення
Основні кваліфікаційні ознаки порушника
Рівень загрози
К1
Знає функціональні особливості системи, основні закономірності формування масивів даних та потоків запитів до них, має навички щодо користування штатними засобами системи
1
К2
Володіє високим рівнем знань та практичними навичками роботи з технічними засобами системи та їх обслуговування
2
К3
Володіє високим рівнем знань у галузі програмування та обчислювальної техніки, проектування та експлуатації автоматизованих інформаційних систем
2
К4
Знає структуру, функції й механізми дії засобів захисту, їх недоліки
3
К5
Знає недоліки та “вади” механізмів захисту, які вбудовані у системне програмне забезпечення та його недокументовані можливості
3
К6
Є розробником програмних та програмно-апаратних засобів захисту або системного програмного забезпечення
4
Специфікація моделі порушника за показником можливостей використання засобів та методів подолання системи захисту.
Таблиця 4
Позначення
Характеристика можливостей порушника
Рівень загрози
З1
Використовує лише агентурні методи одержання відомостей
1
З2
Використовує пасивні засоби (технічні засоби переймання без модифікації компонентів системи)
2
З3
Використовує лише штатні засоби та недоліки системи захисту для її подолання (несанкціоновані дії з використанням дозволених засобів), а також компактні магнітні носії інформації, які можуть бути приховано пронесено крізь охорону
3
З4
Застосовує методи та засоби дистанційного (з використанням штатних каналів та протоколів зв’язку) упровадження програмних закладок та спеціальних резидентних програм збору, пересилання або блокування даних, дезорганізації систем обробки інформації.
3
З5
Застосовує методи та засоби активного впливу (модифікація та підключення додаткових технічних засобів, підключення до каналів передачі даних).
4
Специфікація моделі порушника за часом дії
Таблиця 5
Позначення
Характеристика можливостей порушника
Рівень загрози
Ч1
До впровадження АС або її окремих компонентів
1
Ч2
Під час бездіяльності компонентів системи (в неробочій час, під час планових перерв у роботі, перерв для обслуговування і ремонту і т.д.)
2
Ч3
Під час функціонування АС (або компонентів системи)
3
Ч4
Як у процесі функціонування АС, так і під час призупинки компонентів системи
4
Специфікація моделі порушника за місцем дії.
Таблиця 6
Позначення
Характеристика місця дії порушника
Рівень загрози
Д1
Без доступу на контрольовану територію організації
1
Д2
З контрольованої території без доступу у будинки та споруди
1
Д3
Усередині приміщень, але без доступу до технічних засобів АС
2
Д4
З робочих місць користувачів (операторів) АС
2
Д5
З доступом у зони даних (баз даних, архівів й т.ін.)
3
Д6
З доступом у зону керування засобами забезпечення безпеки АС
4
Додаток 3.
Державні стандарти:
ДСТУ 3396.0-96.Захист інформації. Технічний захист інформації. Основні положення.
ДСТУ 3396.1-96. Захист інформації. Технічний захист інформації. Порядок проведення робіт.
ДСТУ 3892-1999. ”Засоби інженерно-технічного укріплення та захисту об’єктів. Терміни та визначення”.
ДСТУ 3960-2000. “Системи тривожної сигналізації. Системи охоронної і охоронно-пожежної сигналізації. Терміни та визначення”.
ГСТУ 78.11.03.99. “Засоби інженерно-технічного укріплення та захисту об`єктів. Захисне скло. Методи випробувань панцерованого скла на тривкість до обстрілу”.
ГСТУ 78.11.004-2000. “ Засоби інженерно-технічного укріплення та захисту об`єктів. Об’єкти, що охороняються фізичною охороною. Загальні технічні вимоги”.
ГСТУ 78.11.005-2000. “Засоби інженерно-технічного укріплення та захисту об`єктів. Захисне скло. Методи випробувань ударотривкого скла”.
ГСТУ 78.11.006-2001. “Засоби інженерно-технічного укріплення та захисту об’єктів. Панцерові конструкції, деталі та вузли. Методи випробувань на тривкість до обстрілу”.
ГСТУ 78.11.008-2001. “Засоби інженерно-технічного укріплення та захисту об’єктів. Захисна кабіна. Загальні технічні вимоги та методи випробувань ”.
Документи, видані Департаментом спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України:
НД ТЗІ 1.1-002-99. Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу.
НД ТЗІ 1.4-001-2000. Типове положення про службу захисту інформації в автоматизованій системі.
НД ТЗІ 2.5-004-99. Критерії оцінки захищеності інформації в комп’ютерних системах від несанкціонованого доступу.
НД ТЗІ 3.6-001-2000.Технічний захист інформації. Комп’ютерні системи. Порядок створення, впровадження, супроводження та модернізації засобів технічного захисту інформації від несанкціонованого доступу.
НД ТЗІ 3.7-001-99. Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі.
Накази та положення:
Наказ ГУДСО при МВС України від 18.03.98 р. № 70 “Про затвердження основних критеріїв та умов вибору технічних засобів охорони для застосування на об’єктах, що охороняються підрозділами ДСО”.
“Положення про технічний захист інформації в Україні”, затверджене Указом Президента України від 27.09.1999 № 1229/99;
“Положення про контроль за функціонуванням системи технічного захисту інформації”, зареєстроване в Міністерстві юстиції України 11.01.2000 за № 10/4231;
“Тимчасове положення про категоріювання об’єктів” (ТПКО-95), затверджене наказом № 35 від 10.07.1995;
Державні будівельні норми України ДБН А.2.2.-2.96;
Тимчасові рекомендації з технічного захисту інформації ТР ТЗІ - ПЕМВН-95, ТР ЕОТ-95, затверджені наказом № 25 від 09.06.1995;
Відомчі нормативно-правові акти міністерств і відомств із питань ТЗІ;
Нормативні документи, видані в СРСР (в частині, що не суперечать вимогам сьогодення).
Додаток № 4
Приблизний зміст наказу керівника органу, щодо якого здійснюється ТЗІ
Про організацію захисту технічних засобів органу, щодо якого здійснюється ТЗІ від витоку інформації технічними каналами
З метою забезпечення належного режиму при проведені в органі, щодо якого здійснюється ТЗІ робіт і усунення можливих каналів витоку інформації з обмеженим доступом (далі по тексту – ІзОД),
НАКАЗУЮ:
1. Обов’язки щодо організації робіт з технічного захисту інформації з обмеженим доступом органу, щодо якого здійснюється ТЗІ покласти на структурний підрозділ ТЗІ (особу). Обов’язки щодо контролю повноти та якості реалізованих заходів покласти на комісію підрозділу1).
2. Затвердити перелік інформації з обмеженим доступом, яка наявна в органі, щодо якого здійснюється ТЗІ, додаток № ____ до наказу.
3. Затвердити перелік виділених приміщень, інформаційних систем, спеціальних об’єктів на яких утворюється, обробляється, зберігається, пер...
Ділись своїми роботами та отримуй миттєві бонуси!
0%
Оголошення від адміністратора