Получив предыдущие заключения можно предложить следующий путь:
поскольку 1 и 2 риски схожи по угрозе, понижение частоты её появления положительно скажется сразу на обоих рисках;
1,2,3 риски не должны приносить настолько сильные убытки
Непосредственные рекомендации:
1. Маскировать оборудование, пользоваться тонированными окнами, постоянно устанавливать новые обновления для препятствия утечки через бреши в системе.
(Риск1.частота= -0,5 ;Риск2.частота=-0,5)
2. Устанавливать ПО следящие за сканированием портови попытками отправлять запросы с последующим блокированиемIP
(Риск1.частота= -0,5 ;Риск2.частота=-0,5 )
3. Установить жесткий контроль за тем чтобы сотрудник попадал в только в те места, куда ему положено, и не располагал информацией об оборудовании соседнего отдела.
(Риск1.частота= -0,5 ; Риск3.частота= -0,5 )
4. Дублирование важных элементов и узлов, двойное копирование важных документов, сервер с копиями и резервный сервер.
(Риск1.убытки= -0,5 ;Риск3.убытки=-0,5, Риск2.убытки=-0,5 )
5. Быстрое восстановление системы
(Риск1.убытки= -0,5;Риск3.убытки=-0,5, Риск2.убытки=-0,5 )
6. Невозможность использовать данные полученные незаконным путём. Передача информации в соответствующие структуры, для блокирования счетов, ключей, операций.
(Риск1.убытки= -1 ;Риск3.убытки=-1, Риск2.убытки=-1 )
7. Установка средств позволяющих установить личность злоумышленника и отсудить у него убытки, полученные в ходе его действий.
(Риск1.убытки= -1 ;Риск3.убытки=-1, Риск2.убытки=-1 )
Итого суммарная польза от действий:
Риск1: частота= -1,5; убытки= -3 - частота=2; убытки=2; Оценка: 4.
Риск2: частота= -1,5; убытки= -3-частота=2; убытки=1; Оценка: 2.
Риск3: частота= -0,5; убытки= -3-частота=2; убытки=2;Оценка: 4.
За счёт проведения мероприятий все риски не превышают ранее выбранный уровень.
5. ИСПОЛЬЗОВАНИЕ ИНСТРУМЕНТОВ СУИБ «МАТРИЦА»
В своей роботе я решил сформировать отчёты по направлению программно-технические меры. Некоторые из них.
Установить ОС, программы по проэкту ПТК произвести их настройку.
Кодирівнів: Об'єкт Центр сертификации ключей
Коли поставлена 01.01.2011 Керівник Основи
Строк виконання 01.12.2012 Відповідальний Керівник Системный администратор
Людино-годин 5 Відповідальний Спец. прогр. сред.служ. сист.
Статус Постійна Заходи Установка и настройка прогр.
Оновлена 08.01.2012 Засоби ПО: БД, оп.сист., администр.,
Код задачі 11 Етап Создание ЦСК
Виконавці Змістетапів
Сис. админ. - Коротков М. А. Активи Програмное обеспечение
Спец. по ПОсист.админ. - Голодюк К.В. Загрози Некоректныеустанов./настройка
Оцін. ризику 9
Вимоги Правильность роботы системы
Вирішення Проверка функционирован.
Впровадження Независимая экспертиза
Контроль Контроль эксперт. комисией банка
Стан Установить ПО: баз данных, серверное, робочих мест и т.д.
Проблеми Контроль поручить эксперт.комис. банка.
Зауваження
Установить средства контоля и ограничения доступа на объект ЦСК в соответствии с
проэктной документацией КСЗИ.
Кодирівнів: Об'єкт Центр сертификации ключей
Коли поставлена 01.01.2011 Керівник Основи
Строк виконання 01.12.2012 Відповідальний Керівник Администратор безопасности ЦСК
Людино-годин 5 Відповідальний Спец. по технич. средствам служ. ЗИ
Статус Постійна Заходи Установка охранных систем
Оновлена 08.01.2012 Засоби Камеры, сигнализ., пульт ох, код
Код задачі 6 Етап Создание ЦСК
Виконавці Змістетапів
Админ. Безопасности - Каштан А. Б. Активи Все активы
Руководитель сл. ЗИ ЦСК- Карпов Д.А. Спец. Загрози Доступ к объекту не имея прав
по тех. ср. ЗИ ЦСК-Жолудь В.У.
Оцін. ризику 10
Вимоги Прав. настр.тех. средств контр.
Вирішення Устан. средств по проэкту
Впровадження Ввод в эксплуатацию системы
Контроль Контр. СБ б и отвецтвенных за ИБ
Стан Поручить ответственному специалисту устанавливать и настраивать охранные
системы.
Проблеми Контроль возложить на СБ банка и отвецтвенных лиц в ЦСК.
Зауваження В последующем назначить лиц отвечающих за контрольно- пропускной режим
Эти отчёты удобны тем, что можно распечатать и раздать их исполнителям, в них сразу всё сформировано.
Также, на мой взгляд интересен инструмент «Статистика задач и знаний» с его помощью, я определ нагрузку на каждого сотрудника(таб.1).
| Відповідальний | Задач |
| Руководитель ЦСК | 4 |
| Спец. по технич. средствам служ. ЗИ | 2 |
| Нач. служб и администраторы | 2 |
| Системный администратор | 1 |
| Администратор безопасности ЦСК | 1 |
| Спец. по тех. сред.служ. сист. админстр | 1 |
| Спец. прогр. сред.служ. сист. админстр | 1 |
| Нач. служ. защиты информации | 1 |
| Cпец. по програм. средствам служ. ЗИ | 1 |
| Начальник отдела кадров | 1 |
| Общий итог | 15 |
Видна неравноценная нагрузка на руководителя ЦСК, поэтому необходимо ему предоставить помощника или распределить некоторые задачи среди администраторов.
ВЫВОДЫ
С помощью СУИБ «Матрицы» на основе нормативно- правовых документов можно решить много задач.Это достигается путём разбивания одной задачи на мелкие задания в которых есть ответственный и ей присущие угрозы. Все задания легко формируются в один файл, что позволяет раздать их исполнителю.
Также интересен анализ рисков проведя который можно увидить в каком направлении стоит совершенствовать защиту, и чем можно принебречьсекономив средства.
Выполнение роботы позволило мне разобраться в нюансах открытия аккредитованного центра сертификации ключей как подразделения банка, пошагово расписать действия, понять какие могут проявляться угрозы и как максимально защититься от них.
СПИСОК ЛИТЕРАТУРЫ
1. Домарев В.В. Безопасность информационных технологий. Системный подход. – К.: ООО ТИД Диа Софт, 2004. –992 с.
2. http://zakon.rada.gov.ua
3. http://www.security.ukrnet.net/modules/newbb/viewtopic.php?topic_id=647&post_id=2356&order=1&viewmode=flat&pid=0&forum=41#2356