Риски со значением меньше 1 игнорируются, от 1 до 2 – реальных действий не применяется, значимы только риски со значением больше 2, следовательно, модель нарушителя будет рассматриваться в контексте этих угроз. 
 
 
 
 
 

 

       3. Модель нарушителя

 

      Определение модели нарушителя осуществляется с  помощью РД ГТК «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации» пункты 4.1 – 4.3.

      В качестве нарушителя рассматривается  субъект, имеющий доступ к работе со штатными средствами автоматизированной системы (АС) и средств вычислительной техники (СВТ) как части АС. Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами АС и СВТ. Выделяется четыре уровня этих возможностей.

      Первый  уровень определяет самый низкий уровень возможностей ведения диалога в АС - запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации.

      Второй  уровень определяется возможностью создания и запуска собственных  программ с новыми функциями по обработке информации.

      Третий  уровень определяется возможностью управления функционированием АС, т.е. воздействием на базовое программное  обеспечение системы и на состав и конфигурацию ее оборудования.

      Четвертый уровень определяется всем объемом  возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.

      В своем уровне нарушитель является специалистом высшей квалификации, знает все об АС и, в частности, о системе и средствах ее защиты. На основании анализа угроз безопасности и оценки рисков возникновения угроз можно предполагать, что для данной предметной области будет действовать нарушитель третьего уровня возможностей. Для нарушителя третьего класса необходимо определить ресурсы, подвергающиеся воздействию, методы воздействия, результаты воздействия или цели нарушителя (см. П1).

      На  основании анализа угроз безопасности, оценки рисков возникновения угроз, основных возможностей нарушителя третьего класса осуществляется определение класса защищенности информационной системы.

      Определение класса защищенности информационной системы  осуществляется на основании РД ГТК «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».

      В связи со спецификой предметной области, анализа угроз и оценки риска, а также класса нарушителя выбирается 5 класс защищенности информации.

      Требования  к показателям пятого класса защищенности.

      1. Дискреционный принцип контроля доступа.

      Комплекс  средств защиты (КСЗ) должен контролировать доступ наименованных субъектов (пользователей) к наименованным объектам (файлам, программам, томам и т.д.). Для каждой пары (субъект - объект) в СВТ должно быть задано явное и недвусмысленное перечисление допустимых типов доступа (читать, писать и т.д.), т.е. тех типов доступа, которые являются санкционированными для данного субъекта (индивида или группы индивидов) к данному ресурсу СВТ (объекту).

      Механизм, реализующий дискреционный принцип  контроля доступа, должен предусматривать  возможности санкционированного изменения  правил разграничения доступа (ПРД), в том числе возможность санкционированного изменения списка пользователей СВТ и списка защищаемых объектов.

      Права изменять ПРД должны предоставляться  выделенным субъектам (администрации, службе безопасности и т.д.).

      Дополнительно должны быть предусмотрены средства управления, ограничивающие распространение прав на доступ.

      2. Очистка памяти.

      При первоначальном назначении или при перераспределении внешней памяти КСЗ должен предотвращать доступ субъекту к остаточной информации.

      3. Идентификация и аутентификация.

      КСЗ должен требовать от пользователей  идентифицировать себя при запросах на доступ. КСЗ должен подвергать проверке подлинность идентификации – осуществлять аутентификацию. КСЗ должен располагать необходимыми данными для идентификации и аутентификации. КСЗ должен препятствовать доступу к защищаемым ресурсам неидентифицированных пользователей и пользователей, подлинность идентификации которых при аутентификации не подтвердилась.

      4. Гарантии проектирования.

      На  начальном этапе проектирования СВТ должна быть построена модель защиты. Модель должна включать в себя ПРД к объектам и непротиворечивые правила изменения ПРД.

      5. Регистрация.

      КСЗ должен быть в состоянии осуществлять регистрацию следующих событий:

• использование идентификационного и аутентификационного механизма;
• запрос на доступ к защищаемому ресурсу (открытие файла, запуск программы и т.д.);
• создание и уничтожение объекта;
• действия по изменению ПРД.

      6. Целостность КСЗ.

      В СВТ пятого класса защищенности должны быть предусмотрены средства периодического контроля за целостностью программной  и информационной части КСЗ.

      7. Тестирование.

      В СВТ пятого класса защищенности должны тестироваться:

• реализация ПРД (перехват явных и скрытых запросов на доступ, правильное распознавание санкционированных и несанкционированных запросов, средства защиты механизма разграничения доступа, санкционированные изменения ПРД);
• успешное осуществление идентификации и аутентификации, а также их средства защиты;
• очистка памяти;
• регистрация событий, средства защиты регистрационной информации и возможность санкционированного ознакомления с ней;
• работа механизма, осуществляющего контроль за целостностью КСЗ.

4. Построение системы защиты информации

      4.1.Правовые аспекты информационной безопасности

      Информационная  система (ИС) ООО «МТЦ» – аккумуляции задач для инженеров, формирования запросов от клиентов, выставление счетов клиентам за оказанные услуги и оборудование, формирования отчетов по запросам. Выполнение этих задач основано на обработке персональных данных. Отношения, связанные с обработкой персональных данных регулируются Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных». Статья 7 этого Закона требует обеспечение конфиденциальности при обработке  персональных данных. Статья 19 вышеуказанного Закона требует: «…применять необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокировки, копирования, распространения».

      Осуществляя обработку персональных данных, ООО «МТЦ» выполняет функции Оператора (статья 19 Федерального закона «О персональных данных»). Оператор является Обладателем информации (статья 6 Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»).

      Согласно  статье 16 Федерального закона «Об информации, информационных технологиях и о защите информации» «…Обладатель информации обязан обеспечить:

      - предотвращение несанкционированного доступа (НСД) к информации;

      - своевременное обнаружение фактов НСД к информации;

      - предупреждение возможности неблагоприятных последствий нарушения  порядка доступа к информации;

      - недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

      - возможность немедленного восстановления информации, модифицированной или уничтоженной вследствие НСД к ней;

      - постоянный контроль за обеспечением уровня защищенности информации».

      Безопасность  информационной системы  ООО «МТЦ» – это состояние информационной системы, при котором невозможны изменения, уничтожение, блокировка хранимых, обрабатываемых или передаваемых данных. Для этого информационная система должна обладать такими свойствами как конфиденциальность, целостность и доступность.

      Конфиденциальность – свойство информации  быть известной только допущенным и прошедшим проверку (аутентификацию) субъектам (пользователям, процессам, программам)

      Целостность – это свойство компонента информационной системы или ресурса быть неискаженным, актуальным, адекватным (полно и точно отражать предметную область) при функционировании ИС в условиях случайных или преднамеренных искажений или разрушающих воздействий.

      Доступность – свойство информационной системы, характеризующееся способностью обеспечивать своевременный беспрепятственный доступ авторизованных субъектов к запрашиваемой информации и готовность соответствующих сервисов к обслуживанию поступивших от субъектов запросов за приемлемое время.

      4.2. Предложения по построению информационной защиты

      4.2.1. Административные меры обеспечения информационной безопасности

 

      Главная цель административных мер – сформулировать представление о системе защиты информации и программу работ в области информационной безопасности. Представление о системе защиты информации должно быть сформулировано в «Концепции информационной безопасности организации».

      В «Концепции информационной безопасности»  должны быть определены:

      1. Цели и задачи системы информационной безопасности

      Цель  системы ИБ - обеспечить защиту информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб владельцам информации (высшие цели).

      Задачи  системы ИБ обеспечить такое состояние информационной системы, при котором невозможно модифицировать, уничтожить, раскрыть  или блокировать хранимые, обрабатываемые или передаваемые данные; невозможно неправомерно воздействовать на активные процессы обработки данных. То есть необходимо обеспечить целостность, доступность и конфиденциальность данных. 

      2. Принципы построения системы информационной безопасности

      Решение о создании системы информационной безопасности должно приниматься высшим руководством организации.

      При разработке, реализации, эксплуатации, совершенствовании системы ИБ должен использоваться  процессный подход.

      Обеспечение ИБ – это непрерывный процесс.

      Обеспечение ИБ – это проблемно ориентированный  процесс.

      Система защиты информации должна быть адекватна т. е. затраты на защитные меры должен быть меньше ущерба от реализации угроз (от которых данная мера защищает).

      Система защиты информации должна быть целенаправленной. 

      Система защиты информации должна охватывать весь комплекс обработки информации т. е. быть комплексной.

      3. Способы реализации принципов построения системы 
информационной безопасности

            Для подготовки предложений  высшему руководству по созданию, внедрению и совершенствованию системы информационной безопасности необходимо создание рабочей группы по информационной безопасности, ответственной за этот процесс.