Курсовая работа: Исследование способов комплексной защиты информации в АСУ
· разработка раздела технического проекта на АС в части СЗИ;
· строительно-монтажные работы по оборудованию объекта информатизации в соответствии с проектной документацией, утвержденной заказчиком;
· разработка организационно-технических мероприятий по защите объекта информатизации в соответствии с предъявляемыми требованиями;
· закупка сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации;
· закупка и специальные исследования на побочные электромагнитные излучения и наводки несертифицированных средств с выдачей предписаний на их эксплуатацию (или сертификация отдельных образцов импортной ВТ. Сертификацию проводят специально акредитованные сертификационные центры);
· специальная проверка импортных технических средств на предмет возможно внедренных в эти средства специальных электронных устройств (закладок);
· размещение и монтаж технических средств АС;
· закупка сертифицированных серийно выпускаемых технических и программных (в том числе криптографических) СЗИ и их адаптация;
· разработка и последующая сертификация программных СЗИ в случае, когда на рынке отсутствуют требуемые программные средства;
· объектовые исследования технических средств АС на побочные электромагнитные излучения и наводки с целью определения соответствия установленной категории для этих технических средств;
· монтаж средств активной защиты в случае, когда по результатам специальных или объектовых исследований технических средств не выполняются нормы защиты информации для установленной категории этих технических средств;
· организация охраны и физической защиты объекта информатизации и отдельных технических средств;
· разработка и реализация разрешительной системы доступа пользователей и эксплуатационного персонала АС к обрабатываемой информации, оформляемой в виде раздела "Положение о разрешительной системе допуска исполнителей к документам и сведениям в учреждении";
· определение заказчиком подразделений и лиц, ответственных за эксплуатацию СЗИ, обучение назначенных лиц специфике работ по защите информации на стадии эксплуатации АС;
· выполнение генерации пакета прикладных программ в комплексе с программными средствами защиты информации;
· разработка организационно-распорядительной и рабочей документации по эксплуатации АС в защищенном исполнении, а также средств и мер защиты информации (приказов, инструкций и других документов).
Для эффективной и надежной с точки зрения обеспечения безопасности информации работ АС необходимо правильно организовать разрешительную систему доступа пользователей к информации в АС, т.е. предоставить пользователям право работать с той информацией, которая необходима им для выполнения своих функциональных обязанностей, установить их полномочия по доступу к информации. Это означает, что необходимо определить и оформить порядок установления уровня полномочий пользователей, а также круга лиц, которым это право предоставлено, установить правила разграничения доступа, регламентирующие права доступа субъектов к объектам, т.е. не только кто из пользователей АС и их программ допускается к тем или иным программам, файлам, записям, но и какие действия при этом они могут осуществлять.
Все это оформляется службой безопасности информации или администратором АС в виде матрицы доступа или иных правил разграничения доступа.
Среди организационных мероприятий по обеспечению безопасности информации - охрана объекта, на котором расположена защищаемая АС (территория, здания, помещения, хранилища информационных носителей), путем установления соответствующих постов технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими хищение СВТ, информационных носителей, а также НДС к СВТ и линиям связи.
Следует отметить, что в последнее время в направлении физической защиты помещений, самих СВТ, информационных носителей наблюдается смещение в сторону использования в этих целях средств защиты, основанных на новых принципах. Например, доступ в помещение разрешается и контролируется с помощью АС, оконечными устройствами которой являются различного рода терминалы, использующие средства аутентификации на различных физических принципах, с помощью которых осуществляется разграничение доступа в помещение, вход в систему и т.д.
На стадии ввода в действие АС и СЗИ в ее составе осуществляются:
· опытная эксплуатация разработанных или адаптированных средств защиты информации в комплексе прикладными программами в целях проверки их работоспособности и отработки технологического процесса обработки информации;
· приемочные испытания СЗИ по результатам опытной эксплуатации с оформлением приемо-сдаточного акта, подписываемого разработчиком (поставщиком) и заказчиком;
· аттестация АС по требованиям безопасности информации, которая производится аккредитованным в установленном порядке органом по аттестации в соответствии с "Положением по аттестации объектов информатики по требованиям безопасности информации", действующим в системе сертификации продукции и аттестации объектов информатики, работающей под управлением Гостехкомиссии России.
При положительных результатах аттестации владельцу АС выдается "Аттестат соответствия АС требованиям безопасности информации". Эксплуатация АС осуществляется в полном соответствии с утвержденной организационно-распорядительной и эксплуатационной документацией, предписаниями на эксплуатацию технических средств.
Технология обработки информации в АС различна и зависит от используемых СВТ, программных средств, режимов работы. Не вдаваясь в особенности технологического процесса, обусловленные различиями в технике, программном обеспечении и другими причинами, можно констатировать, что основной характерной особенностью, связанной с обработкой секретной или иной подлежащей защите информации, является функционирование системы защиты информации от НСД, как комплекса программно-технических средств и организационных решений, предусматривающей учет, хранение и выдачу пользователям информационных носителей, паролей, ключей, ведение служебной информации СЗИ НСД (генерацию паролей, ключей, сопровождение правил разграничения доступа), оперативный контроль за функционированием СЗИ, контроль соответствия общесистемной программной среды эталону и приемку включаемых в АС новых программных средств, контроль за ходом технологического процесса обработки информации путем регистрации анализа действий пользователей, сигнализации опасных событий.
Перечисленные составляющие являются функциональной направленностью службы безопасности информации, администратора АС и фиксируются, с одной стороны, в положениях об этих службах и общей организационной документации по обеспечению безопасности информации ("Положение о порядке организации и проведения на предприятии работ по защите информации в АС", "Инструкция по защите информации, обрабатываемой в АС предприятия", разделе "Положения о разрешительной системе допуска исполнителей к документам и сведениям на предприятии", определяющем особенности системы допуска в процесс разработки и функционирования АС), а с другой стороны, в проектной документации СЗИ НСД (инструкциях администратору АС, службе безопасности информации, пользователю АС).
Следует отметить, что без надлежащей организационной поддержки программно-технических средств защиты информации от НСД и точного выполнения предусмотренных проектной документацией процедур в должной мере не решить проблему обеспечения безопасности информации в АС, какими бы совершенными эти программно-технические средства не были.
Контроль состояния эффективности защиты информации осуществляется подразделениями по защите информации службы безопасности предприятия-заказчика и заключается в проверке по действующим методикам выполнения требования нормативных документов по защите информации, а также в оценке обоснованности и эффективности мер.