Анализ угроз и разработка политики безопасности информационной системы отделения Пенсионного фонда Российской Федерации (стр. 8 из 8)
Исходя из полученной таблицы оценки риска, можно сделать вывод, что защищать необходимо информационный ресурс на уровне СУБД, так как уровень риска является самым высоким. Защищать зоны уязвимости, где уровень риска низкий, просто не имеет смысла.
Вся информация, находящаяся в госучреждении, должна быть конфиденциальной, целостной, надежной, качественной, защищенной. Ей управляет администратор, защищает – администратор ИБ. В отделении должны обеспечиваться:
- функционирование системы парольной защиты электронных вычислительных машин и локальных вычислительных сетей. Должна быть организована служба централизованной парольной защиты для генерации, смены, удаления паролей, разработки необходимых инструкций, контроля за действиями персонала по работе с паролями;
- формирование уникальных идентификаторов сообщений и идентификаторов пользователей;
- осуществление проверки запросов данных по паролям, идентификаторам;
- функционирования системы ограниченного доступа к серверу и использованию ресурсов Интернет;
- хранение БД и копий БД в определенных защищаемых местах;
- применение шифрования информации криптографическими и стеганографическими методами и средствами;
- обеспечение эффективной защиты каналам и средствам связи (провода, телефоны и др.)
- взаимодействия нескольких АРМ друг с другом, выполняющие одинаковые полномочия;
- создание благоприятных условий и место труда сотрудникам отделения;
- отсутствие возможного появления вредоносного ПО или применение борьбы с ним.
Для того, чтобы избежать потерю информации необходимо обеспечивать защиту и выполнять общие требования.
Таблица 10 - Разработка защитных мер на уровне СУБД
| Зона уязвимости: уровень СУБД | Виды защитных мер |
| Пожар | Оборудовать пожарную сигнализацию; установить необходимое количество огнетушителей; назначить ответственного за пожарную безопасность; провести инструктаж по пожарной безопасности с работниками отделения; выполнять плановые и внеплановые проверки исправности проводки. |
| Преднамеренное повреждение | Создать затруднительный доступ к проводами др. каналам связи, обеспечить отделение камерами наблюдения и дополнительной сигнализацией, предупредить о наказаниях в случае умышленной поломки. |
| Неисправности аппаратных средств | Своевременная замена и ремонт оборудования; изолировать от посторонних лиц важные аппаратные средства, чтобы исключить умышленное и случайное повреждение; проводить периодические проверки исправности аппаратных средств. |
| Износ среды хранения | Осуществление обновления БД и аппаратной части; хранение копий БД на отдельном компьютере. |
| Авария ПО | Создавать резервные копии; постоянно обновлять ПО; ограничить пользование нелицензионными копиями ПО. |
| Подделка идентификатора пользователя | Обеспечить каждый ПК уникальным паролем. Пароли должны соответствовать следующим требованиям: 1. длина пароля должна быть не менее 8 символов; 2.в числе символов пароля обязательно должны присутствовать буквы, цифры и специальные символы; 3. пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, и т.д.); 4. при смене пароля новое значение должно отличаться от предыдущего не менее, чем в 4 позициях; 5. смена паролей должна проводиться регулярно не реже одного раза в месяц; 6. одинаковых паролей не должно быть. |
| Вредоносное программное обеспечение | Защита ПО с помощью антивирусных программ; никогда не котировать на свой винчестер /дискету программы, не проверенные на наличие вируса; не копировать программы с ненадежных источников; вести внимательное наблюдение за новой программой (желательно эксплуатировать ее на специальном компьютере); иметь копии всех ценных программ и хранить их на защищенных дисках; установить по возможности системным файлам атрибут «только для чтения»; иметь системный диск с антивирусными программами. |
| Нелегальный импорт/экспорт программного обеспечения | Запретить копирование ПО с сервера и др. ПК; отслеживать трафик. |
| Доступ к сети неавторизованных пользователей | Контролировать действия неавторизованного пользователя; возложить ответственность за какие – либо неисправности; сообщать администратору о известных входах в сеть неавторизованным способом. |
| Ошибка операционного персонала | Ограничить уровень допуска в соответствии с необходимостью; набор только квалифицированного персонала; проведение семинаров по обучению работы с новым ПО. |
| Техническая неисправность компонентов сети | Постоянно следить за компонентами сети; своевременный ремонт и замена оборудования; запретить доступ к компонентам сети, кроме технического обслуживания. |
| Ошибки при передаче | Использование различных алгоритмов разделения файлов при передачи; проверка контрольных сумм. |
| Повреждения в линиях связи | Обеспечить затруднительный доступ к линиям связи; расположить провода ближе к потолку и убрать их в коробки. |
| Перехват | Сделать невозможным прямой доступ к сети; кодировать всю информацию при передачи; анализировать трафик. |
| Ошибочная маршрутизация сообщений | Исключить ошибочную передачу сведений из локальной сети по сети Интернет; вести таблицу маршрутизации и постоянно ее обновлять, отсылая запросы. |
| Повторная маршрутизация сообщений | Исключить ошибочную передачу сведений из локальной сети по сети Интернет; вести таблицу маршрутизации и постоянно ее обновлять, отсылая запросы. |
| Неправильное использование ресурсов | Установить приоритет на запросы; ограничить доступ к ним для всех на определенной время; использовать многоканальный доступ. |
В госоргане обязательно необходимо следить и обеспечивать безопасность информации по составленным правилам и требованиям. В этом случае повысится вероятность избежание нежелательных последствий и уменьшатся риски потерь.
Заключение
Информатизация является неизбежным этапом цивилизации, поскольку производственные процессы становятся все более информационно емкими. Проблема создания, накопления, обработки, хранения, обмена (распространения) и защиты информации занимает важное место в информационной жизнедеятельности. В курсовой работе были рассмотрены и проанализированы возможные угрозы нападения на информационные ресурсы отделения Пенсионного Фонда РФ, разработана политика безопасности, построена информационная система и показаны ее структурная и инфологическая модели. В процессе работы были выявлены какая информация является чувствительной, опасные для нее угрозы, проведены оценки рисков нападения, описаны категории возможных потерь, разработаны правила и защитные меры при самых критических ситуациях. Можно подвести итог, что политика ИБ должна существовать во всех организациях и госучреждениях где имеются компьютеры для необходимой защиты, применение которой должно быть целесообразно.
1.Савицкий Н.И. Экономическая информатика: Учебное пособие. – М.: Экономистъ, 2004. – 429с.
Приложение А
Информационно – логическая модель ИС
Внешняя среда
Получение сведений
 |
 |
 |  | | |
Шлюз