Приложение к Постановлению от 18.05.2016 г № 377 Концепция
Концепция информационной безопасности администрации муниципального образования "Город майкоп" (проект)
Список используемых сокращений
| АИС | Автоматизированная информационная система |
| АРМ | Автоматизированное рабочее место |
| АС | Автоматизированная система |
| БД | База данных |
| ВТСС | Вспомогательные технические средства и системы |
| ВЧВС | Виртуальная частная вычислительная сеть |
| ЕСКД | Единая система конструкторской документации |
| ЕСПД | Единая система программной документации |
| ЕСТД | Единая система технологической документации |
| ЗИ | Защита информации |
| ЗП | Защищаемое помещение |
| ИБ | Информационная безопасность |
| ИТКС | Информационно-телекоммуникационная система |
| КЗ | Контролируемая зона |
| КСЗИ | Комплексная система защиты информации |
| ЛВС | Локальная вычислительная сеть |
| НСД | Несанкционированный доступ |
| ОБИ (ОИБ) | Обеспечение безопасности информации |
| ОТСС | Основные технические средства и системы |
| ПО | Программное обеспечение |
| ПС | Программные средства |
| РД | Руководящий документ |
| СЗИ НСД | Система защиты информации от НСД |
| СКЗИ | Средство криптографической защиты информации |
| СПД | Система передачи данных |
| СПО | Специальное программное обеспечение |
| СТК | Система телекоммуникаций; |
| СУБД | Система управления базами данных |
| ТП | Технический проект |
| ТТ | Технические требования |
| УЦ | Удостоверяющий центр |
| ФСБ России | Федеральная служба безопасности России |
| ФСТЭК России | Федеральная служба по техническому и экспертному контролю России |
| ЭЦП | Электронная цифровая подпись |
ОСНОВНЫЕ ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
АУТЕНТИФИКАЦИЯ - проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности.
АДМИНИСТРАТОР ЗАЩИТЫ - субъект доступа, ответственный за защиту автоматизированной системы от несанкционированного доступа к информации.
БЕЗОПАСНОСТЬ ИНФОРМАЦИИ - состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних или внешних угроз.
ВСПОМОГАТЕЛЬНЫЕ ТЕХНИЧЕСКИЕ СРЕДСТВА И СИСТЕМЫ - технические средства и системы, не предназначенные для передачи, обработки и хранения конфиденциальной информации, размещаемые совместно с основными техническими средствами и системами или в защищаемых помещениях.
ДОСТУП К ИНФОРМАЦИИ - ознакомление с информацией, ее обработка, в частности, копирование, модификация или уничтожение информации.
ЗАЩИТА ИНФОРМАЦИИ (ЗИ) - деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на информацию.
ЗАЩИТА ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА - деятельность, направленная на предотвращение получения информации заинтересованным субъектом (или воздействия на информацию) с нарушением установленных прав или правил.
ЗАЩИЩАЕМАЯ ИНФОРМАЦИЯ - информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.
ЗАЩИЩАЕМЫЕ ПОМЕЩЕНИЯ - помещения, специально предназначенные для проведения конфиденциальных мероприятий (совещаний, обсуждений, конференций, переговоров и т.п.).
ЗАЩИЩЕННОЕ СРЕДСТВО ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ (ЗАЩИЩЕННАЯ АВТОМАТИЗИРОВАННАЯ СИСТЕМА) - средство вычислительной техники (автоматизированная система), в которой реализован комплекс средств защиты.
ИНФОРМАЦИОННЫЕ РЕСУРСЫ - отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах).
ИДЕНТИФИКАЦИЯ - присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.
ИДЕНТИФИКАТОР ДОСТУПА - уникальный признак субъекта или объекта доступа.
КОМПЛЕКС СРЕДСТВ ЗАЩИТЫ - совокупность программных и технических средств, создаваемая и поддерживаемая для обеспечения защиты средств вычислительной техники или автоматизированных систем от несанкционированного доступа к информации.
КОНТРОЛИРУЕМАЯ ЗОНА - пространство (территория, здание, часть здания), в котором исключено неконтролируемое пребывание сотрудников и посетителей организации, а также транспортных средств.
КОНФИДЕНЦИАЛЬНАЯ ИНФОРМАЦИЯ - информация с ограниченным доступом, не содержащая сведений, составляющих государственную тайну, доступ к которой ограничивается в соответствии с законодательством Российской Федерации.
НЕСАНКЦИОНИРОВАННЫЙ ДОСТУП - доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.
НАРУШИТЕЛЬ ПРАВИЛ РАЗГРАНИЧЕНИЯ ДОСТУПА - субъект доступа, осуществляющий несанкционированный доступ к информации.
ОБЪЕКТ ДОСТУПА - единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа.
ОРГАНИЗАЦИЯ ЗАЩИТЫ ИНФОРМАЦИИ - содержание и порядок действий по обеспечению защиты информации.
ОСНОВНЫЕ ТЕХНИЧЕСКИЕ СРЕДСТВА И СИСТЕМЫ - технические средства и системы, а также их коммуникации, используемые для обработки, хранения и передачи конфиденциальной информации.
ПАРОЛЬ - идентификатор субъекта доступа, который является его (субъекта) секретом.
СИСТЕМА РАЗГРАНИЧЕНИЯ ДОСТУПА - совокупность реализуемых правил разграничения доступа в средствах вычислительной техники или автоматизированных системах.
САНКЦИОНИРОВАННЫЙ ДОСТУП К ИНФОРМАЦИИ - доступ к информации, не нарушающий правила разграничения доступа.
СЕРТИФИКАТ ЗАЩИТЫ - документ, удостоверяющий соответствие средства вычислительной техники или автоматизированной системы набору определенных требований по защите от несанкционированного доступа к информации и дающий право разработчику на использование и (или) распространение их как защищенных.
СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА - комплекс организационных мер и программно-технических (в том числе криптографических) средств защиты от несанкционированного доступа к информации в автоматизированных системах.
СРЕДСТВО ЗАЩИТЫ ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА - программное, техническое или программно-техническое средство, предназначенное для предотвращения или существенного затруднения несанкционированного доступа.
СРЕДСТВО КРИПТОГРАФИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ - реализующие алгоритмы криптографического преобразования информации аппаратные, программные и аппаратно-программные средства, системы и комплексы, предназначенные для защиты информации, обеспечивающие безопасность информации при ее обработке, хранении и передаче по каналам связи.
СУБЪЕКТ ДОСТУПА - лицо или процесс, действия которого регламентируются правилами разграничения доступа.
ЦЕЛОСТНОСТЬ ИНФОРМАЦИИ - устойчивость информации к несанкционированному или случайному воздействию на нее в процессе обработки техническими средствами, результатом которого может быть уничтожение и искажение информации.
1.ОБЩИЕ ПОЛОЖЕНИЯ
1.1.Назначение Концепции
Настоящая Концепция определяет систему взглядов на проблему обеспечения комплексной безопасности информации и устанавливает порядок организации и правила обеспечения информационной безопасности в Администрации муниципального образования "Город Майкоп" (далее - Администрация), распределение функций и ответственности за обеспечение информационной безопасности между подразделениями и сотрудниками Администрации, требования по информационной безопасности к информационным средствам, применяемым в Администрации. Документ представляет собой методологическую основу для разработки и реализации комплексных целевых программ обеспечения защиты информации на объектах информатизации Администрации.
1.2.Сфера применения Концепции
Требования настоящей Концепции обязательны для всех структурных подразделений Администрации и распространяются на:
- автоматизированные системы;
- средства телекоммуникаций;
- помещения;
- сотрудников Администрации.
Внутренние документы Администрации, затрагивающие вопросы, рассматриваемые в данном документе, должны разрабатываться с учетом положений Концепции и не противоречить им.
1.3.Правовая основа Концепции
Правовую основу Концепции составляют:
- Конституция Российской Федерации;
- Федеральный закон от 28 декабря 2010 г. N 390-ФЗ "О безопасности";
- Федеральный закон от 26 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации";
- Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных";
- Указ Президента Российской Федерации от 6 марта 1997 г. N 188 "Об утверждении перечня сведений конфиденциального характера";
- Доктрина информационной безопасности Российской Федерации (утв. Президентом РФ от 9 сентября 2000 г. N Пр-1895);
- Приказ Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах";
- Приказ Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";
- другие законодательные акты, руководящие и нормативно-методические документы, национальные стандарты Российской Федерации в области обеспечения информационной безопасности.
1.4.Цели и задачи обеспечения безопасности информации
Главная цель обеспечения безопасности информации, обрабатываемой в Администрации, - реализация положений законодательных актов Российской Федерации и нормативных требований по защите информации ограниченного доступа (далее по тексту - конфиденциальная или защищаемая информация) и предотвращение ущерба в результате разглашения, утраты, утечки, искажения и уничтожения информации, ее незаконного использования и нарушения работы информационно-телекоммуникационной системы Администрации.
Основными целями обеспечения безопасности информации являются:
- предотвращение утечки, хищения, искажения, подделки информации, циркулирующей в Администрации;
- предотвращение несанкционированных действий по блокированию информации.
Основными задачами обеспечения безопасности информации являются:
- соответствие положениям законодательных актов и нормативным требованиям по защите информации;
- своевременное выявление, оценка и прогнозирование источников угроз информационной безопасности, причин и условий, нарушения нормального функционирования и развития ИТКС Администрации;
- создание механизма оперативного реагирования на угрозы информационной безопасности и негативные тенденции в системе информационных отношений;
- эффективное пресечение незаконных посягательств на информационные ресурсы, технические средства и информационные технологии, в том числе с использованием организационно-правовых и технических мер и средств защиты информации;
- создание условий для максимально возможного возмещения и локализации наносимого интересам Администрации ущерба неправомерными действиями физических и юридических лиц, ослабление негативного влияния и ликвидация последствий нарушения информационной безопасности;
- разработка нормативно-правовой базы обеспечения информационной безопасности, координация деятельности подразделений Администрации по обеспечению защиты информации;
- развитие системы защиты, совершенствование ее организации, форм, методов и средств предотвращения, парирования и нейтрализации угроз информационной безопасности и ликвидации последствий ее нарушения;
- создание и применение защищенных информационных объектов и АИС, центров обработки защищаемой информации;
- развитие и совершенствование защищенного юридически значимого электронного документооборота;
- создание механизмов, обеспечивающих контроль системы информационной безопасности и гарантии достоверности выполнения установленных требований информационной безопасности;
- создание механизмов управления системой информационной безопасности.
2.ОБЪЕКТЫ ЗАЩИТЫ
2.1.Объектами защиты Администрации являются:
- информационные ресурсы;
- средства и системы обработки информации;
- средства и системы защиты информации, в т.ч. криптографической защиты информации.
2.2.Информационные ресурсы
Под информационными ресурсами в Администрации понимаются совокупности сведений в электронном и бумажном виде (база данных, электронная библиотека, реестр, кадастр, фонд, архив и другие виды информационных массивов), поддерживаемые программно-техническими средствами автоматизированной информационной системы. Информационные ресурсы представляют собой хранилища данных, из которого путем специализированной обработки пользователю предоставляется информация на электронных или бумажных носителях, в том числе в виде отдельных фрагментов баз данных, отчетов и справок.
Технологической основой формирования информационных ресурсов является программно-техническая среда автоматизированных информационных систем, используемых в Администрации.
Используемые в информационных системах Администрации технологии взаимодействия при обработке информационных ресурсов включают:
- электронную почту (протоколы SMTP и РОР3);
- Web-доступ к ресурсам сети (протоколы HTTP/HTTPS/HTML);
- технологию терминального доступа для взаимодействия с удаленными пользователями (протокол RDP);
- обмен файлами в формате XML.
Основным источником информации для наполнения первичных баз данных ИТКС являются документы и сообщения, поступающие от структурных подразделений Администрации и внешних организаций.
Информационное и функциональное взаимодействие узлов ИТКС Администрации осуществляется на основе Системы электронного документооборота (СЭД), обеспечивающей должностных лиц структурных подразделений Администрации требуемой информацией.
Обмен информацией осуществляется:
- внутри узлов - по локальным вычислительным сетям - программными и техническими средствами ЛВС в соответствии с транспортными протоколами обмена информацией между абонентами;
- между узлами ИТКС Администрации и информационными системами удаленных подведомственных учреждений - по каналам связи в соответствии с соглашениями и протоколами по обмену информацией.
Вся информация, хранимая, обрабатываемая или передаваемая в рамках Администрации с использованием информационной системы, классифицирована по степени важности и критичности на следующие категории.
Конфиденциальная информация
К конфиденциальной относится информация о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющая идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях, а также любая другая закрытая информация, являющаяся собственностью Администрации. При обработке этой информации необходимо соблюдать требования Федерального закона "О персональных данных", а также прочих нормативных правовых актов, регламентирующих работу с конфиденциальной информацией.
При хранении, передаче и обработке данной информации необходимо обеспечить максимальный уровень ее защиты.
Служебная информация
К служебной информации могут быть отнесены любые сведения, относящиеся к деятельности подразделений Администрации, несанкционированное распространение которых может привести к отрицательным экономическим, этическим или иным последствиям. Хранение, обработка и передача такой информации должны осуществляться в соответствии с требованиями настоящего документа.
Рабочая информация
Рабочая информация включает в себя сведения, имеющие отношение к внутренней деятельности подразделений Администрации и не относящиеся к конфиденциальной или служебной информации. При хранении, передаче и обработке такой информации необходимо обеспечить максимальный уровень ее целостности и аутентичности в соответствии с положениями настоящего документа.
Прочие виды информации
Для прочих видов информации порядок хранения, передачи и обработки с использованием автоматизированных систем не регламентируется.
2.3.Средства и системы обработки информации
Средства и системы обработки информации Администрации представляют собой совокупность программного обеспечения и технических средств обработки и передачи информации, а также систему телекоммуникаций (СТК).
Техническое обеспечение (ТО) включает следующие компоненты:
- серверные комплексы (платформы);
- рабочие станции пользователей;
- технические средства ввода/вывода информации:
- сканеры;
- принтеры;
- средства хранения и архивирования данных;
- активное и пассивное оборудование локальной вычислительной сети (ЛВС);
- средства бесперебойного питания.
Система телекоммуникаций (СТК) поддерживает информационный обмен между внутренними абонентами и информационными системами Администрации, а также информационную связь с внешними абонентами. В системной архитектуре СТК выделены следующие функциональные подсистемы:
- Транспортная подсистема;
- Подсистема удаленного доступа к информационным ресурсам;
- Подсистема электронной почты;
- Подсистема сервисов глобальной сети Интернет;
- Подсистема управления, мониторинга и обслуживания СТК.
В состав программного обеспечения информационных систем входят:
- общесистемное программное обеспечение;
- специальное (прикладное) программное обеспечение.
Общесистемное программное обеспечение включает в себя:
- серверные и клиентские операционные системы;
- СУБД;
- пакеты офисных программ;
- антивирусные программы;
- пакеты программ для групповой работы;
- терминальные серверные и клиентские программы;
- средства электронной почты;
- средства управления информационной безопасностью;
- средства управления и администрирования системой.
Специальное программное обеспечение (СПО) является совокупностью аналитических и логических методов и алгоритмов, программ их реализации, отражающих специфику автоматизируемых процессов и предназначенных для обеспечения деятельности должностных лиц Администрации.
2.4.Средства обеспечения
Под средствами обеспечения Администрации понимаются вспомогательные инженерно-технические системы, не участвующие в обработке информации, содержащей конфиденциальные сведения. В общем виде к этим системам относятся:
- системы электропитания и заземления объектов;
- системы связи (ведомственной, междугородней, городской, внутренней), не предназначенной для закрытых переговоров;
- системы пожарной и охранной сигнализации;
- электронные системы контроля и управления доступом на территорию и в помещения;
- системы громкоговорящей связи и оповещения;
- системы кондиционирования, отопления и воздухоснабжения.
2.5.Объекты, предназначенные для ведения закрытых переговоров
В качестве объектов, предназначенных для ведения закрытых переговоров, необходимо рассматривать следующие помещения Администрации:
- кабинеты руководящего состава, используемые для обсуждения конфиденциальной информации;
- помещения для проведения совещаний и переговоров по конфиденциальным вопросам (конференцзалы);
- другие помещения, в том числе и технические, в которых может обсуждаться конфиденциальная информация.
3.МОДЕЛЬ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
3.1.Основные факторы, воздействующие на информационную безопасность в Администрации
Основными факторами, воздействующими на информационную безопасность Администрации, являются:
- Природный фактор. Совокупность угроз природного характера, являющихся следствием воздействия естественной непреодолимой силы (стихии), - землетрясения, наводнения, метеорологические катаклизмы и т.п., приводящие к устойчивому нарушению функционирования информационных и телекоммуникационных ресурсов, вплоть до их утраты или физического уничтожения. Вероятность определяется спецификой территории, на которой дислоцируется защищаемый объект - многолетними метеорологическими наблюдениями, геотектоническими данными и др.
- Техногенный фактор. Совокупность угроз искусственного характера, вызванных результатами человеческой деятельности (цивилизации), - пожары, взрывы, затопления, радиационные и химические заражения, энергетические аварии, разрешение коммуникаций, в том числе - в результате террористических актов, диверсий, массовых беспорядков и ведения боевых действий.
- Системный фактор. Возникновение угрозы целостности информации и (или) функционированию информационно-телекоммуникационных средств, систем и сетей в результате ошибок в их проектировании и разработке или возникновения внутрисистемных сбоев (фатальных ошибок) при их эксплуатации, в том числе - из-за несовершенства или конфликтов программного обеспечения или неисправности оборудования.
- Человеческий фактор. Возникновение угрозы безопасности информации в результате отсутствия профессиональных навыков, недостаточной подготовки, халатности, ненадлежащего исполнения обязанностей или злого умысла персонала, эксплуатирующего информационно-телекоммуникационные средства, системы и сети, разработчиков программного обеспечения и пользователей, имеющих допуск к информации на законном основании. Нарушение правил эксплуатации ЭВМ, их систем и сетей лицами, ответственными за эту работу.
- Криминальный фактор. Целенаправленное внешнее воздействие на информационные ресурсы и информационно-телекоммуникационные средства, системы и сети ("атаки", вторжения) с целью уничтожения, блокирования или копирования информации, разработка и внедрение вредоносных программ (вирусов, симуляторов, "троянских" программ, клавиатурных перехватчиков и др.) внедрение специальных технических средств для негласного получения информации.
3.2.Угрозы безопасности информации и их источники
Информация, обрабатываемая в ИТКС Администрации, дает потенциальную возможность для проявления угроз безопасности, вызванных действиями, процессами или явлениями, приводящими к нанесению ущерба. Предусматривается два типа угроз безопасности:
- связанные с утечкой информации (разглашение, утечка, несанкционированный доступ);
- связанные с несанкционированным воздействием на информацию и ее носители (искажение, уничтожение, копирование, блокирование, утрата, сбой функционирования носителя информации, сбои и ошибки техники, ошибки пользователей, природные явления, другие случайные воздействия).
Основными источниками угроз безопасности информации являются:
- Стихийные: стихийные бедствия, катаклизмы;
- Техногенные: аварии, сбои и отказы оборудования (технических средств);
- Ошибки проектирования и разработки компонентов АС (аппаратных средств, технологии обработки информации, программного обеспечения и т.п.);
- Антропогенные: ошибки эксплуатации, преднамеренные действия нарушителей и злоумышленников.
3.3.Классификация способов реализации угроз информационной безопасности
Угрозы информационной безопасности по отношению к защищаемым объектам могут быть разделены на:
- угрозы, связанные с применением технических средств;
- угрозы, связанные с использованием программного обеспечения;
- угрозы, связанные с нарушением технологического процесса обмена данными;
- угрозы, связанные с использованием сетей передачи данных.
3.3.1.Пути реализации непреднамеренных субъективных угроз безопасности информации
Пользователи, операторы, системные администраторы и сотрудники, обслуживающие информационные системы Администрации, являются внутренними источниками случайных воздействий, т.к. имеют непосредственный доступ к процессам обработки информации и могут совершать непреднамеренные ошибки и нарушения действующих правил, инструкций и процедур.
Основные пути реализации непреднамеренных искусственных (субъективных) угроз информационной безопасности (действия, совершаемые людьми случайно, по незнанию, невнимательности или халатности, из любопытства, но без злого умысла) следующие:
- Действия сотрудников, приводящие к частичному или полному отказу системы или нарушению работоспособности аппаратных или программных средств: отключению оборудования или изменению режимов работы устройств и программ; разрушению информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение программ или файлов с важной информацией, в том числе системных, повреждение каналов связи, неумышленная порча носителей информации и т.п.).
- Несанкционированный запуск технологических программ, способных при некомпетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или осуществляющих необратимые изменения в системе (форматирование или реструктуризацию носителей информации, удаление данных и т.п.).
- Несанкционированное внедрение и использование неучтенных программ (игровых, обучающих, технологических и других, не являющихся необходимыми для выполнения сотрудниками своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (процессорного времени, оперативной памяти, памяти на внешних носителях и т.п.).
- Непреднамеренное заражение компьютера вирусами.
- Разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования или ЭЦП, идентификационных карточек, пропусков и т.п.).
- Игнорирование организационных ограничений (установленных правил) при работе в системе.
- Некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом подразделения безопасности.
- Ввод ошибочных данных.
3.3.2.Пути реализации преднамеренных субъективных угроз безопасности информации
Основные возможные пути умышленной дезорганизации работы, вывода информационных систем Администрации из строя, проникновения в систему и несанкционированного доступа к информации (с корыстными целями, по принуждению, из желания отомстить и т.п.) могут быть следующими:
- Физическое разрушение или вывод из строя всех или отдельных наиболее важных компонентов автоматизированной системы (устройств, носителей важной системной информации, лиц из числа персонала и т.п.), отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, линий связи и т.п.).
- Хищение носителей информации (распечаток, микросхем памяти, запоминающих устройств и целых ПЭВМ), хищение производственных отходов (распечаток, записей, списанных носителей информации и т.п.).
- Несанкционированное копирование информации, чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств.
- Использование чужих прав по доступу к ресурсам АС путем незаконного получения паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, путем имитации интерфейса системы программными закладками и т.д.).
- Несанкционированное использование АРМ пользователей, имеющих уникальные физические характеристики, такие как имя рабочей станции в сети, физический адрес, адрес в системе связи и другие.
- Несанкционированная модификация программного обеспечения - внедрение программных "закладок" и "вирусов" ("троянских коней" и "жучков"), то есть таких участков программ, которые не нужны для осуществления заявленных функций, но позволяющих преодолевать систему защиты, скрытно и незаконно осуществлять доступ к системным ресурсам с целью регистрации и передачи защищаемой информации или дезорганизации функционирования АС.
- Перехват данных, передаваемых по каналам связи, и их анализ с целью получения сведений, в том числе ограниченного распространения и выяснения протоколов обмена, правил вхождения в связь и авторизации пользователей и последующих попыток их имитации для проникновения в систему.
- Вмешательство в процесс функционирования АС сетей общего пользования с целью несанкционированной модификации данных, доступа к сведениям ограниченного распространения, дезорганизации работы подсистем АС и т.п.
3.3.3.Пути реализации непреднамеренных техногенных угроз безопасности информации
- Закупки несовершенных, устаревших или неперспективных средств информатизации и информационных технологий;
- аварии в системах электропитания;
- аварии в системах отопления и водоснабжения в непосредственной близости к техническим средствам обработки информации;
- нарушение температурного режима в помещениях с критическим оборудованием (серверы);
- неумышленное повреждение внешних кабельных систем связи строительными организациями, физическими лицами и т.п. в результате проведения несогласованных работ в местах прокладки кабелей связи;
- возникновение пожаров в непосредственной близости к техническим средствам обработки информации в результате неисправной электропроводки, неисправных технических средств, нарушения сотрудниками правил противопожарной безопасности.
3.3.4.Пути реализации непреднамеренных стихийных угроз безопасности информации
- Разрушение зданий, отдельных помещений, в которых установлены технические средства обработки информации, хранилища данных в результате стихийных бедствий (наводнений, землетрясений, ураганов) в районе размещения объекта информатизации Администрации.
- Воздействие атмосферного электричества на технические средства обработки информации и системы обеспечения (электропитание, охранная, пожарная сигнализация и т.п.).
- Возникновение стихийных очагов пожаров в непосредственной близости от объекта информатизации Администрации.
3.4.Классификация нарушителей информационной безопасности
При анализе угроз информационной безопасности используется модель нарушителя по признаку принадлежности к Администрации. В соответствии с этой моделью все нарушители делятся на две основные группы: внутренние и внешние.
Под внутренними нарушителями подразумеваются все сотрудники Администрации, имеющие санкционированный доступ на территорию или к ресурсам АС. Под внешними нарушителями подразумеваются все остальные лица.
Внутренним нарушителем может быть лицо из следующих категорий сотрудников:
- пользователи информационных ресурсов;
- обслуживающий персонал (системные администраторы, администраторы АС, администраторы баз данных, инженеры);
- сотрудники-программисты, сопровождающие системное, общее и прикладное программное обеспечение;
- другие сотрудники подразделений Администрации, имеющие санкционированный доступ в здания, где расположено оборудование передачи и обработки информации АС.
Внешние нарушители информационной безопасности:
- лица, самостоятельно осуществляющие создание методов и средств реализации атак, а также самостоятельно реализующие атаки, совершающие свои действия с целью нанесения ущерба Администрации (съем информации, искажение информации, разрушение системного или прикладного ПО).
Потенциальные нарушители делятся на три группы:
1 группа - субъекты, не имеющие доступ в пределы контролируемой зоны Администрации.
2 группа - субъекты, не имеющие доступ к работе со штатными средствами АС Администрации, но имеющие доступ в помещения, где они размещаются.
3 группа - субъекты, имеющие доступ к работе со штатными средствами.
Квалификация потенциального нарушителя.
А - не является специалистом в области вычислительной техники.
В - самый низкий уровень возможностей - запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции при обработке информации.
С - возможности создания и запуска собственных программ с новыми функциями по обработке информации.
Д - возможность управления функционированием автоматизированной системы, т.е. воздействием на базовое программное обеспечение системы, на конфигурацию ее оборудования.
Е - включает весь объем возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств автоматизированной системы, вплоть до включения в состав АС собственных технических средств с новыми функциями по обработке информации.
Наряду с классификацией, приведенной выше, нарушителей информационной безопасности можно разделить на следующие виды - неосторожные (халатные), манипулируемые, саботажники, нелояльные и мотивируемые извне.
3.5.Обобщенная модель
угроз безопасности информации Администрации
| Угроза информационной безопасности | Источник угроз | Способы реализации угроз |
| I. Получение информации | 1. Антропогенный | а) Разглашение, передача или утрата атрибутов разграничения доступа |
| б) Внедрение агентов в число персонала системы | ||
| в) Хищение носителей информации | ||
| г) Незаконное получение паролей и других реквизитов разграничения доступа | ||
| д) Несанкционированная модификация программного обеспечения | ||
| е) Перехват данных, передаваемых по каналам связи | ||
| ж) Несанкционированное копирование носителей информации, чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств | ||
| II. Анализ характеристик информации | 1. Антропогенный | а) Хищение носителей информации хищение производственных отходов |
| б) чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств | ||
| в) Несанкционированная модификация программного обеспечения | ||
| г) Перехват данных, передаваемых по каналам связи, и их анализ | ||
| III. Изменение (искажение, подмена) информации | 1. Антропогенный | а) Несанкционированный запуск технологических программ, способных при некомпетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или осуществляющих необратимые изменения в системе (форматирование или реструктуризацию носителей информации, удаление данных и т.п.) |
| б) Непреднамеренное заражение компьютера вирусами | ||
| в) Ввод ошибочных данных | ||
| г) Вмешательство в процесс функционирования АС сетей общего пользования с целью несанкционированной модификации данных | ||
| 2. Техногенный | а) аварии в системах электропитания | |
| б) нарушение температурного режима в помещениях с критическим оборудованием (серверы, узлы связи) в результате неисправности систем кондиционирования | ||
| IV. Нарушение информации | 1. Антропогенный | а) Действия сотрудников, приводящие к частичному или полному отказу системы или нарушению работоспособности аппаратных или программных средств |
| б) Несанкционированное внедрение и использование неучтенных программ (игровых, обучающих, технологических и других, не являющихся необходимыми для выполнения сотрудниками своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (процессорного времени, оперативной памяти, памяти на внешних носителях и т.п.) | ||
| в) Непреднамеренное заражение компьютера вирусами | ||
| г) Игнорирование организационных ограничений (установленных правил) при работе в системе | ||
| д) Ввод ошибочных данных | ||
| 2. Техногенный | а) аварии в системах электропитания | |
| б) нарушение температурного режима в помещениях с критическим оборудованием (серверы, узлы связи) в результате неисправности систем кондиционирования | ||
| V. Нарушение работоспособности систем | 1. Антропогенный | а) Действия сотрудников, приводящие к частичному или полному отказу системы или нарушению работоспособности аппаратных или программных средств |
| б) Физическое разрушение или вывод из строя всех или отдельных наиболее важных компонентов автоматизированной системы | ||
| 2. Техногенный | а) закупки несовершенных, устаревших или неперспективных средств информатизации и информационных технологий; | |
| б) аварии в системах электропитания; | ||
| в) аварии в системах отопления и водоснабжения в непосредственной близости к техническим средствам обработки информации; | ||
| г) нарушение температурного режима в помещениях с критическим оборудованием (серверы, узлы связи) в результате неисправности систем кондиционирования; | ||
| д) неумышленное повреждения внешних кабельных систем связи строительными организациями, физическими лицами и т.п. в результате проведения несогласованных работ в местах прокладки кабелей связи; | ||
| е) возникновение пожаров в непосредственной близости к техническим средствам обработки информации в результате неисправной электропроводки, неисправных технических средств, нарушения сотрудниками правил противопожарной безопасности. | ||
| 3. Стихийный | а) Разрушение зданий, отдельных помещений | |
| б) воздействие атмосферного электричества | ||
| в) возникновение стихийных очагов пожаров |
Наложение угроз безопасности информации на модель ИТКС Администрации (Рис. 1 не приводится) позволяет в первом приближении оценить их опасность и методом исключения определить наиболее актуальные для конкретного объекта защиты. Кроме того, можно оценить объемы необходимых работ и выбрать магистральное направление по обеспечению безопасности информации.
4.ОРГАНИЗАЦИЯ СИСТЕМЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
4.1.Организационно-штатная структура подразделений, отвечающих за обеспечение информационной безопасности
Общее руководство системой информационной безопасности и принятие всех решений по вопросам ее функционирования осуществляет Заместитель руководителя Управления делами Администрации муниципального образования "Город Майкоп".
За функционирование технических средств защиты информации в информационных системах Администрации отвечает главный специалист Управления информатизации.
За выполнение мероприятий по защите информации в подразделениях Администрации несут ответственность их руководители.
4.2.Организация системы комплексного мониторинга и контроля состояния информационной безопасности
Контроль и комплексный мониторинг состояния системы информационной безопасности Администрации выполняется с целью обеспечения надежности и устойчивости системы информационной безопасности, обеспечения доверия к ней и гарантий выполнения требований по ИБ.
Задачи контроля и комплексного мониторинга состояния информационной безопасности:
- определение критериев для оценки безопасности существующих и создаваемых систем в рамках информационно-телекоммуникационной системы Администрации;
- определение соответствия или несоответствия создаваемых и существующих систем этим критериям;
- формулировка обоснованных предложений по совершенствованию существующих методов и систем обеспечения защищенности, безопасности и достоверности информации в тех случаях, когда они не удовлетворяют имеющимся критериям.
Для осуществления контроля выполнения требований должна быть организована система отчетности о выполнении требований по безопасности. Отчетность должна вестись ответственным за информационную систему, функционирующую в структурном подразделении, и отправляться не реже одного раза в месяц ответственному за защиту информации в Администрации (Приложение). На основании этих данных ответственный сможет реально оценивать ситуацию с состоянием безопасности во всех подразделениях Администрации.
Основные операции по учету и контролю выполнения требований должны быть автоматизированы.
Обязанности по контролю системы информационной безопасности распределяются следующим образом:
- Управление информатизации проводит проверки состояния защиты информационных систем и выполнение требований ИБ в подразделениях, контролирует состояние информационной безопасности в системах, СУБД, сетях;
- сотрудники структурных подразделений контролируют текущее состояние информационной безопасности на своих рабочих местах.
Мероприятия для организации системы
комплексного мониторинга и контроля состояния информационной
безопасности
Должна быть организована система непрерывного контроля за состоянием системы информационной безопасности следующим образом:
- определение перечня подразделений, рабочих мест, систем, процессов, по которым должен проводиться контроль выполнения требований;
- определение списка требований для каждой структурной единицы;
- организация сбора отчетности о выполнении требований по ИБ;
- обработка и анализ собранных форм отчетности выводами о выполнении требований;
- периодический пересмотр системы требований;
- контроль полноты и непротиворечивости системы требований.
Решение всех перечисленных задач должно быть автоматизировано путем использования необходимых программных средств контроля выполнения требований.
Проверки организации и состояния информационной безопасности проводятся ответственным за информационную безопасность и могут быть:
- плановыми;
- внезапными;
- по фактам нарушения информационной безопасности.
Плановые проверки проводятся в соответствии с годовым Планом проверок. В ходе плановых проверок должна полностью проверяться вся организация системы информационной безопасности подразделения.
Внезапные проверки проводятся в соответствии с внутренними планами работы. Внезапные проверки проводятся по отдельным вопросам организации информационной безопасности.
Проверки по фактам нарушения информационной безопасности проводятся после того, как нарушение устранено. Проверка проводится с целью выявления причин и предпосылок нарушения и выработки мер по предупреждению подобных нарушений в дальнейшем. Проверка проводится в обязательном порядке по каждому факту нарушения независимо от его последствий.
Результаты всех проверок оформляются в виде акта с необходимыми в каждом конкретном случае приложениями.
Управление информатизации:
- контролирует правильность выполнения сотрудниками действий по доступу к объектам информационной системы;
- анализирует состояние информационной системы с целью выявлений попыток несанкционированного доступа;
- контролирует правильность использования имеющихся коллективных и индивидуальных средств информационной защиты.
В случае выявления каких-либо отклонений или нарушений в системе информационной безопасности администратор информационной безопасности принимает меры к их устранению самостоятельно, или через руководителя соответствующего подразделения.
Сотрудники подразделения анализируют состояние своих рабочих мест с целью выявления попыток несанкционированного доступа и использования информационных средств и информации. В случае выявления таких попыток сотрудник сообщает об этом администратору информационной безопасности и руководителю структурного подразделения.
Для эффективного контроля состояния информационной безопасности необходимо провести обучение сотрудников подразделений Администрации с целью повышения уровня их осведомленности в вопросах информационной безопасности.
5.МЕРОПРИЯТИЯ ПО РЕШЕНИЮ ЗАДАЧ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
5.1.Организационно-режимные мероприятия
Выполнение организационно-режимных мероприятий при обеспечении информационной безопасности предполагает:
- Определение уровня защищенности информационных систем;
- разграничение допуска к информационным ресурсам ограниченного распространения;
- разграничение допуска к программно-аппаратным ресурсам ИТКС Администрации;
- ведение учета ознакомления сотрудников с информацией ограниченного распространения;
- включение в функциональные обязанности сотрудников обязательства о неразглашении и сохранении сведений ограниченного распространения;
- организацию уничтожения информационных отходов (бумажных, магнитных и т.д.);
- ведение учета отчуждаемых носителей информации;
- организацию и осуществление периодического контроля за обеспечением информационной безопасности;
- организацию учета СКЗИ, ключей шифрования и подписи, их хранения, эксплуатации и уничтожения.
В соответствии с вышеуказанными задачами необходимо разработать или актуализировать комплект следующих организационно-распорядительных документов:
- перечень информационных ресурсов Администрации;
- регламент предоставления доступа к информационным и программно-аппаратным ресурсам Администрации;
- положение о доступе к сети Интернет.
5.2.Мероприятия по физической защите объектов и средств информатизации
Обеспечение физической безопасности всей информационно-телекоммуникационной системы Администрации и отдельных ее элементов является одной из основных задач, решаемых подсистемой защиты информации. Физические меры защиты основаны на применении разного рода механических, электро- или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации.
Физическая защита направлена на обеспечение безопасности:
- периметра информационной системы (защита контролируемой зоны);
- периметра отдельных объектов системы (выделенных территорий, зданий, помещений);
- носителей информации, оборудования и каналов передачи данных, хранящих, обрабатывающих и передающих информацию в открытом виде (магнитных и бумажных носителей информации, экранов мониторов, серверов и рабочих станций, открытых каналов связи и т.п.);
- ключевых элементов криптографических и парольных систем.
Основными направлениями физической защиты являются:
- контроль физического доступа к оборудованию в помещениях;
- обеспечение безопасности кабельной системы;
- обеспечение безопасности при утилизации отработавшего оборудования и носителей информации;
- обеспечение безопасности рабочих мест.
Контроль физического доступа к оборудованию,
на контролируемую территорию и в помещения
На территории Администрации и территориальных подразделений следует установить надлежащий контроль доступа в помещения. Правила доступа на территорию должны регламентироваться соответствующим положением (инструкцией).
Для разграничения доступа в помещения, где располагается серверное оборудование и другие критически важные объекты ИТКС Администрации, целесообразно использовать системы физической защиты. Необходимо соблюдать следующие правила доступа в помещения:
- Во всех подразделениях Администрации необходимо исключить несанкционированное нахождение посторонних лиц, дата и время их входа и выхода должны регистрироваться.
Кроме того, для предотвращения утечки информации и противодействия потенциальным нарушителям необходимо соблюдать следующие правила:
- Эксплуатация АРМ и серверов должна осуществляться в помещениях, оборудованных надежными замками, исключающими возможность бесконтрольного проникновения в помещения посторонних лиц и обеспечивающими физическую сохранность находящихся в помещении защищаемых ресурсов (АРМ, документов, реквизитов доступа и т.п.).
- Размещение и установка АРМ и серверов должна исключать возможность визуального просмотра вводимой (выводимой) информации лицами, не имеющими к ней доступ.
- Уборка помещений, в которых обрабатывается или хранится конфиденциальная или служебная информация, должна производиться в присутствии ответственного, за которым закреплены технические средства (данные), или дежурного по подразделению с соблюдением мер, исключающих доступ посторонних лиц к защищаемым ресурсам.
- В помещениях во время обработки и отображения на АРМ информации ограниченного распространения должен присутствовать только персонал, допущенный к работе с данной информацией. Запрещается прием посетителей в помещениях, когда осуществляется обработка защищаемой информации.
- Для хранения служебных документов и машинных носителей с защищаемой информацией помещения снабжаются сейфами и металлическими шкафами. Помещения должны быть обеспечены средствами уничтожения документов.
- Вспомогательное оборудование (например, копировальные аппараты, факс-машины) должно быть так размещено, чтобы уменьшить риск НСД к защищенным областям или компрометации конфиденциальной информации.
- Физические барьеры должны по необходимости простираться от пола до потолка, чтобы предотвратить несанкционированный доступ в помещение.
- Запрещается без надобности предоставлять посторонним лицам информацию о происходящем в защищенных областях (территории, помещениях).
- В нерабочее время защищенные области (территория, помещения) должны быть физически недоступны (закрыты на замки) и периодически проверяться охраной.
- Персоналу, осуществляющему техническое обслуживание серверов, должен быть предоставлен доступ в защищенные области (территорию, помещения) только в случае необходимости и после получения разрешения. По необходимости доступ такого персонала (особенно к конфиденциальным данным) следует ограничить, а их действия следует отслеживать.
- Запрещается использование фотографической, звукозаписывающей и видеоаппаратуры в защищенных областях, за исключением санкционированных случаев.
Обеспечение
безопасности кабельной системы ИТКС Администрации
Защита кабельной системы ИТКС направлена на снижение вероятности несанкционированного доступа к информации путем гальванического подключения к информационным кабелям или снятия информации через побочные электромагнитные излучения и наводки на другие кабели, а также на обеспечение защиты кабельного оборудования от электромагнитных помех.
Кабели электропитания и сетевые кабели для передачи данных необходимо защищать от вскрытия для целей перехвата информации и повреждения. Для уменьшения такого риска в помещениях организации предлагается реализовать следующие защитные меры:
- Кабели электропитания и линии связи, идущие к информационным системам, должны быть защищены надлежащим образом.
- Необходимо рассмотреть меры по защите сетевых кабелей от их несанкционированного вскрытия для целей перехвата данных и от повреждения, например, проложив эти линии так, чтобы они не проходили через общедоступные места.
- С целью снижения влияния электромагнитных помех, силовые и коммуникационные кабели должны быть разнесены в пространстве.
- Для исключительно уязвимых или критически важных систем следует рассмотреть необходимость принятия дополнительных мер, таких, как:
- шифрование данных;
- использование запираемых помещений.
Надежная утилизация
отработавшего оборудования и носителей информации
Оборудование, подлежащее выводу из эксплуатации, и использованные носители информации могут содержать остаточную информацию ограниченного доступа. Регламентация порядка и процедур их утилизации позволяет перекрыть каналы несанкционированного доступа к этой информации:
- устройства хранения информации, содержащие ценную информацию, при выведении из эксплуатации должны быть физически уничтожены, либо должно быть проведено гарантированное стирание с них остаточной информации;
- все оборудование, включая носители информации, перед передачей другому владельцу или списанием должно быть проверено на отсутствие важной информации или лицензионного программного обеспечения.
Безопасность рабочего места сотрудников Администрации
Рабочие места сотрудников Администрации - наиболее многочисленная категория объектов ИТКС, через которые возможен несанкционированный доступ к информации. Действия сотрудников сложно контролировать, поэтому в системе защиты информации необходимо предусмотреть автоматизированные механизмы контроля доступа к терминалам, мониторинга за действиями пользователей и сигнализации при обнаружении попыток несанкционированного доступа, а также установлен жесткий регламент доступа к рабочим местам с помощью организационных мер.
Безопасность рабочих мест сотрудников Администрации предусматривает:
- документы на всех видах носителей и технические средства обработки информации должны храниться (размещаться) в помещениях, исключающих несанкционированный доступ к ним;
- исключение несанкционированного доступа к информации, хранящейся на различного рода носителях;
- персональные компьютеры, терминалы и принтеры должны защищаться паролями или другими методами на время отсутствия пользователя;
- должны быть приняты надежные меры, исключающие несанкционированное использование копировальной техники;
- распечатки, содержащие информацию ограниченного доступа, должны изыматься из печатающего устройства немедленно. Необходимо устанавливать печатающие устройства для печати конфиденциальных документов в помещениях, где работают сотрудники, ответственные за их учет, хранение и выдачу исполнителям.
5.3.Мероприятия по обеспечению катастрофоустойчивости информационно-телекоммуникационной системы Администрации
Обеспечение катастрофоустойчивости необходимо для сохранения устойчивости и стабильности функционирования Администрации и ее информационно-телекоммуникационной системы в различных условиях неблагоприятного воздействия внешних и внутренних факторов техногенного и/или природного характера.
Для обеспечения катастрофоустойчивости необходимо выполнить работы, направленные на минимизацию возможных потерь в условиях активного воздействия внутренней и внешней среды.
Основные мероприятия по обеспечению
катастрофоустойчивости информационно-телекоммуникационной
системы
- Идентификация и анализ неблагоприятных воздействий на информационно-телекоммуникационную систему Администрации, разработка стратегий управления рисками, связанными с применением информационно-телекоммуникационной системы;
- определение требований Администрации к непрерывности функционирования информационно-телекоммуникационной системы;
- определение стратегий восстановления информационных и других технических систем в случае возникновения отказов и сбоев.
Важнейшим качеством ИТКС в Администрации является способность обеспечивать требуемый уровень отказоустойчивости. Возможно применение следующих технических мероприятий для обеспечения отказоустойчивости:
- Следует внедрять технологии резервирования хранилищ данных.
- Серверное и другое критическое оборудование следует размещать таким образом, чтобы свести к минимуму излишний доступ в рабочие помещения.
- Оборудование необходимо защищать от сбоев в системе электропитании и других неполадок в электрической сети. Источник питания должен соответствовать спецификациям производителя оборудования.
- Следует рассмотреть необходимость использования резервного источника питания. Для оборудования, поддерживающего критически важные производственные сервисы, рекомендуется установить источник бесперебойного питания. План действий в чрезвычайных ситуациях должен включать меры, которые необходимо принять по окончании срока годности источников бесперебойного питания. Оборудование, работающее с источниками бесперебойного питания, необходимо регулярно тестировать в соответствии с рекомендациями изготовителя.
- Следует рассмотреть возможность изоляции областей, требующих специальной защиты, для понижения необходимого уровня общей защиты.
Для создания системы обеспечения катастрофоустойчивости необходимо разработать следующие организационно-распорядительные и нормативно-технические документы:
- Политика резервного копирования и восстановления данных.
5.4.Мероприятия по решению задач защиты информации от несанкционированного доступа в информационно- телекоммуникационных системах Администрации
Основные мероприятия по защите информации от несанкционированного доступа в ИТКС должны предусматривать следующее:
- Применение сертифицированных аппаратно-программных средств защиты информации от НСД.
- Механизмы защиты от НСД должны осуществлять защиту системы от возможности посторонних лиц осуществлять работу в системе (механизмы идентификации и аутентификации), а также получать НСД к информационным ресурсам системы (механизмы разграничения доступа в соответствии с полномочиями субъекта). При реализации этих механизмов защиты должна использоваться совокупность организационных, программных (пароли, матрицы доступа и др.), аппаратно-программных и технических методов защиты.
- Защита системы от НСД должна обеспечиваться на всех технологических этапах передачи, обработки и хранения информации и при всех режимах работы системы, в том числе при проведении ремонтных и регламентных работ. При этом реализованные в системе средства защиты от НСД не должны ухудшать основные функциональные характеристики системы.
- Защита системы от НСД с помощью программных, программно-аппаратных и технических методов должна обеспечивать:
- защиту технических средств обработки информации;
- защиту баз данных;
- защиту системы управления.
- Защита от НСД должна строиться на основе системы разграничения доступа (СРД) пользователей к системе и ее информационным ресурсам. Основными функциями СРД должны являться:
- реализация правил разграничения доступа (ПРД) пользователей и их процессов к информационным ресурсам;
- реализация ПРД пользователей к устройствам создания твердых копий;
- изоляция программ процесса, выполняемого в интересах пользователя, от других пользователей системы;
- реализация правил обмена данных между пользователями системы, построенных по сетевым принципам.
- Обеспечивающие средства СРД должны выполнять следующие основные функции:
- идентификацию и аутентификацию пользователей системы и поддержание привязки к их процессам, выполняемым в их интересах;
- регистрацию действий пользователей и выполняемых в их интересах процессов, предоставление возможности исключения и включения новых пользователей и объектов доступа, а также изменение полномочий пользователей;
- реакцию на попытки несанкционированного доступа (сигнализацию, блокировку и т.д.), восстановление механизмов защиты после НСД;
- тестирование;
- учет выходных печатных и графических форм, а также твердых копий в системе;
- контроль целостности программной и информационной части как СРД, так и обеспечивающих ее средств.
- Практическая реализация СРД должна определяться с учетом конкретных особенностей системы и может включать в себя следующие способы и их сочетания:
- распределенная система разграничения доступа и СРД, локализованная в аппаратно-программном комплексе системы;
- СРД в рамках операционной системы, системы управления базами данных или прикладных программ;
- СРД в средствах реализации сетевых протоколов взаимодействия или на уровне приложений;
- Программная и (или) техническая реализация СРД;
- Программная и (или) аппаратная реализация криптографических функций.
В рамках системы защиты от НСД необходимо внедрить комплексную систему защиты баз данных, содержащих критичную к нарушению безопасности информацию.
Для создания системы защиты информации от несанкционированного доступа в информационно-телекоммуникационных системах Администрации необходимо разработать следующие организационно-распорядительные и нормативно-технические документы:
- Положение о разграничении прав доступа к информационным ресурсам.
5.5.Мероприятия по обеспечению безопасного информационного взаимодействия Администрации с организациями, министерствами и ведомствами
К основным мероприятиям по обеспечению безопасности сетевого информационного взаимодействия с внешними потребителями, пользователями и источниками информации относятся:
- Предотвращение возможности утечки конфиденциальной информации, обрабатываемой в ИТКС Администрации, через внешнюю сеть.
- Обеспечение защиты ресурсов ИТКС со стороны внешней сети.
Так как ресурсы ИТКС (в частности - система "1C Предприятие Документооборот государственного учреждения"), предназначенные для доступа из внешней сети (по каналам связи сетей общего пользования), подвержены атакам из внешней открытой сети, то ведомственный (защищенный, содержащий конфиденциальную информацию) и внешний (открытый) трафики должны быть физически разделены - в ИТКС не должно быть вычислительных средств (рабочих станций, серверов, межсетевых экранов), концентрирующих на себе одновременно ведомственный и внешний трафик.
При организации сетевого взаимодействия следует использовать средства защиты:
- Выделенные средства межсетевого экранирования (или межсетевые экраны), устанавливаемые на стыке сетей, концентрирующие на себе межсетевой трафик.
- Механизмы контроля доступа к локальным и сетевым ресурсам, входящие в состав СЗИ НСД, устанавливаемой на рабочие станции и серверы ИТКС, решающие задачи фильтрации внутрисетевого трафика и доступа к локальным ресурсам.
- Антивирусные средства.
- Средства обнаружения компьютерных атак.
Указанными средствами должно обеспечиваться:
- разграничение доступа (по входящему и исходящему трафикам) по адресам (IP-адресам) и сетевым протоколам к хостам внешней/внтуренней сети;
- трансляция адресов - во внешней сети должен быть "виден" только адрес криптомаршрутизатора, что позволяет скрывать структуру внутренней сети (адреса рабочих станций и серверов внутренней сети);
- защита от сетевых атак (вирусы, шпионские программы, атаки на отказ в обслуживании);
- аудит доступа к ресурсам внешней сети;
- аутентификация удаленных пользователей.
Важнейшим условием обеспечения защищенного доступа к внешним ресурсам является реализация демилитаризованной зоны, с целью физической изоляции внутрисетевого и внешнего трафиков. Данное решение должно позволять взаимодействовать пользователям внешней сети только с серверами внешнего доступа, и делать недоступным для них доступ, прежде всего, к внутренним серверам, а также к рабочим станциям защищаемой корпоративной сети, даже при преодолении защиты, реализуемой средствами межсетевого экранирования.
5.6.Мероприятия по антивирусной защите информационных ресурсов Администрации
Целью создания системы антивирусной защиты является обеспечение защищенности информационно-коммуникационной системы Администрации от воздействия различного рода вредоносных программ и несанкционированных массовых почтовых рассылок, предотвращения их внедрения в информационные системы, выявления и безопасного удаления из систем в случае попадания, а также фильтрации доступа пользователей к непродуктивным Интернет-ресурсам и контроля их электронной переписки.
Основополагающими требованиями к системе антивирусной защиты Администрации являются:
- решение задачи антивирусной защиты должно осуществляться в общем виде. Средство защиты не должно оказывать противодействие конкретному вирусу или группе вирусов, противодействие должно оказываться в предположениях, что вирус может быть занесен на компьютер, и о вирусе (о его структуре (в частности, сигнатуре) и возможных действиях) ничего не известно;
- решение задачи антивирусной защиты должно осуществляться в реальном времени.
Мероприятия, направленные на решение задач по антивирусной защите:
- необходимо проводить политику, требующую установки только лицензированного программного обеспечения;
- антивирусные программные средства должны регулярно обновляться и использоваться для профилактических проверок (желательно ежедневных);
- непрерывный контроль над всеми возможными путями проникновения вредоносных программ в ИТКС Администрации, мониторинг антивирусной безопасности и обнаружение деструктивной активности вредоносных программ на всех объектах ИТКС;
- ежедневный анализ, ранжирование и предотвращение угроз распространения и воздействия вредоносных программ путем выявления уязвимостей используемого в ИТКС программного обеспечения ОС и сетевых устройств и устранения обнаруженных дефектов в соответствии с данными поставщика ПО и других специализированных экспертных антивирусных служб;
- проведение профилактических мероприятий по предотвращению и ограничению вирусных эпидемий, включающих загрузку и развертывание специальных правил нейтрализации (отражению, изоляции и ликвидации) вредоносных программ на основе рекомендаций по контролю атак, подготавливаемых разработчиком средств защиты от вредоносных программ и другими специализированными экспертными антивирусными службами до того, как будут выпущены файлы исправлений, признаков и антивирусных сигнатур;
- необходимо проводить регулярную проверку целостности критически важных программ и данных. Наличие лишних файлов и следов несанкционированного внесения изменений должно быть зарегистрировано в журнале и расследовано;
- дискеты, диски, дисковые накопители любого типа неизвестного происхождения следует проверять на наличие вирусов до их использования.
В рамках создания системы антивирусной защиты информационных ресурсов Администрации необходимо разработать следующие организационно-распорядительные и нормативно-технические документы:
- Положение об антивирусном контроле, включая определение основных целей и области применения системы антивирусной защиты, требования к персоналу, степень ответственности, структуру и необходимый уровень защищенности от вредоносных программ, статус и должностные обязанности сотрудников отдела сопровождения системы антивирусной защиты.
5.7.Мероприятия по повышению квалификации специалистов в области защиты информации
Подготовка и переподготовка пользователей и специалистов Администрации по защите информации требует создания системы повышения уровня технической грамотности и информированности пользователей в области информационной безопасности, а также переподготовки специалистов по защите информации. Для этого необходимо регулярно проводить тренинги для персонала и контроль готовности новых сотрудников по применению правил информационной защиты, а также периодически осуществлять переподготовку специалистов по защите информации. Особенно важно проводить тренинги при изменении конфигурации информационной системы (внедрении новых технологий и прикладных автоматизированных систем, смены оборудования, операционной системы, ключевых приложений, принятии новых правил или инструкций и т.д.).
5.8.Мероприятия по внутреннему аудиту
информационных систем Администрации
Внутренний аудит информационных систем Администрации производится сотрудниками, ответственными за информационную безопасность, по распоряжению Администрации. Сроки и режим проведения внутреннего аудита устанавливаются Главой муниципального образования "Город Майкоп".
Целью внутреннего аудита является оценка текущего состояния системы информационной безопасности ИТКС, разработка или актуализация организационных и технических требований к системе информационной безопасности Администрации, прогнозирование на основе этого требуемых затрат на ее поддержание и модернизацию.
Требования к системе информационной безопасности разрабатываются на основе анализа существующих угроз информационно-телекоммуникационной системы, идентификации существующих уязвимостей и оценки величины возможного ущерба.
Результаты аудита должны содержать отчеты по обеспечению безопасности информационной системы подразделения в целом или ее логических компонентов. Описания, выявленные факты и рекомендации, полученные в ходе проведения аудита, должны быть использованы для дальнейшей оценки защищенности информационной системы.
Аудит проводится независимо от сотрудников, ответственных за функционирование общей системы поддержки. Необходимые проверки могут быть осуществлены как изнутри, так и извне информационной системы.
Комплексные проверки мер по обеспечению информационной безопасности проводятся не реже одного раза в год. Отдельные проверки систем на потенциальные повреждения осуществляются с периодичностью, необходимой для поддержания требуемого уровня оперативности статистических данных.