Гребенніков Вадим - Комплексні системи захисту інформації. Проектування, впровадження, супровід стр 9.

Шрифт
Фон

– вищий ступінь обмеження доступу (для ІДТ) до інформації (ступінь секретності) відповідно до вимог Зводу відомостей, що становлять державну таємницю;

– критичні властивості інформації з погляду забезпечення її захищеності, визначені з урахуванням вимог Правил 373 і вимог власника (розпорядника) інформації;

– вимоги (за наявності) щодо обмеження доступу до інформації користувачів ІТС різних категорій, визначені з урахуванням, наприклад, вимог «Положення про забезпечення режиму секретності під час обробки інформації, що становить державну таємницю, в АС» або «Інструкції про порядок обліку, зберігання і використання документів, справ, видань та інших матеріальних носіїв інформації, які містять службову інформацію».

Окрім зазначених вище, можуть бути використані додаткові класифікаційні ознаки, корисні з погляду подальшого формулювання політики безпеки інформації, оброблюваної в ІТС, наприклад, вид подання відповідних інформаційних ресурсів тощо.

При обстеженні користувацького середовища здійснюється аналіз:

– функціонального та кількісного складу користувачів, їхніх функціональних обов’язків та рівня кваліфікації;

– повноважень користувачів щодо допуску до відомостей, які обробляються в ІТС, доступу до ІТС та її окремих компонентів;

– повноважень користувачів щодо управління КСЗІ;

– рівня можливостей різних категорій користувачів, що надаються (можуть бути доступними) їм засобами ІТС.

За результатами обстеження вище зазначених середовищ складається «Формуляр ІТС», який оформлюється як окремий документ і складається з таких розділів:

– загальні відомості про ІТС;

– склад технічних засобів ІТС;

– склад програмного забезпечення;

– відомості про програмно-апаратний КЗЗ від НСД;

– відомості про впровадження, випробування та приймання в експлуатацію;

– посадові особи, відповідальні за технічне обслуговування;

– посадові особи, відповідальні за забезпечення захисту інформації;

– реєстрація проведених робіт (технічне обслуговування, ремонт, модернізація тощо);

– відмітки про проведення перевірок КСЗІ;

– перелік технічних та експлуатаційних документів КСЗІ.

У разі обробки в ІТС інформації, що становить державну таємницю, обов’язково здійснюється також обстеження фізичного середовища, під час якого аналізується взаємне розміщення засобів обробки інформації ІТС на ОІД, комунікацій, систем життєзабезпечення і зв’язку, а також режим функціонування цих об’єктів.

Порядок проведення обстеження повинен відповідати ДСТУ 3396.1—96 «Технічний захист інформації. Порядок проведення робіт», а в частині, що стосується захисту інформації від витоку технічними каналами, – НД ТЗІ 3.1-001-07 «Створення комплексу технічного захисту інформації. Передпроектні роботи».

Аналізу підлягають такі характеристики фізичного середовища:

– характеристика об’єктів, де розташовані компоненти ІТС (дані про інженерно-технічну споруду, її частину або декілька споруд, приміщення тощо);

– архітектурно-будівельні особливості приміщень: огороджувальні будівельні конструкції: стеля, підлога, стіни, перегородки (матеріал, товщина); підвісна стеля (конструкція, матеріал); вікна, двері, інші отвори (кількість, матеріал, розміри).

– дані про складові об’єктів, що можуть впливати на показники ефективності захищеності ІзОД і які можуть бути середовищем поширення за межі КЗ її носіїв (інженерні комунікації, обладнання, оргтехніка, телебачення, електроживлення, заземлення, газо-, водопостачання, опалення, вентиляції, кондиціонування повітря, водостоку, каналізації, технологічне обладнання, огороджувальні будівельні конструкції, світлопроникні отвори приміщень, будинків, споруд тощо).

– наявність систем безпеки в установі, до яких може бути інтегрована КСЗІ (відеоспостереження, пожежна та охоронна сигналізації, системи зв’язку);

– схеми розміщення комунікацій, обладнання систем електроживлення, у тому числі трансформаторної підстанції;

– дані про складові об’єктів, які виходять за межу КЗ або її перетинають, застосування яких не обґрунтовано виробничою необхідністю і які підлягають демонтуванню, у подальшому застосуванні яких відсутня необхідність);

– опис систем заземлення (дані про перелік технічних засобів ІТС, що підлягають заземленню);

– результати аналізу фізичного середовища та пропозиції щодо необхідності отримання додаткових даних про можливі місця розміщення засобів технічної розвідки; проведення випробувань (у т.ч. спеціальних досліджень технічних засобів, які оброблятимуть ІзОД); застосування організаційних, інженерно-технічних заходів захисту (у т.ч. застосування засобів оброблення ІзОД, інших технічних засобів у захищеному виконанні).

За результатами комісія складає «Акт обстеження середовищ функціонування ІТС», який затверджується керівником організації-власника (розпорядника) ІТС і складається з таких розділів:

– клас і склад обчислювальної системи,

– перелік і характеристики інформаційних ресурсів,

– перелік і повноваження користувачів,

– опис фізичного середовища (до акту додаються генеральний і ситуаційний плани, схеми систем життєзабезпечення та заземлення).

4. Модель порушника безпеки інформації в ІТС

На підставі Акту обстеження та визначення загроз для ІТС СЗІ розробляє «Модель порушника безпеки інформації в ІТС», яка затверджується керівником організації-власника (розпорядника) ІТС, та вноситься, за необхідності, до відповідних розділів Плану захисту.

Модель порушника – це абстрактний формалізований або неформалізований опис дій порушника, який відображає його практичні та теоретичні можливості, апріорні знання, час і місце дії тощо. Як порушник розглядається особа, яка може одержати несанкціонований доступ (далі – НСД) до роботи з включеними до складу ІТС засобами.

Модель порушника повинна визначати:

– можливі цілі порушника та їх градація за ступенями небезпечності для ІТС та інформації, що потребує захисту;

– категорії персоналу, користувачів ІТС та сторонніх осіб, із числа яких може бути порушник;

– припущення про кваліфікацію порушника;

– припущення про характер його дій.

Метою порушника можуть бути:

– отримання необхідної інформації у потрібному обсязі та асортименті;

– мати можливість вносити зміни в інформаційні потоки у відповідності зі своїми намірами (інтересами, планами);

– нанесення збитків шляхом знищення матеріальних та інформаційних цінностей.

Порушники спочатку поділяються на дві основні групи: зовнішні та внутрішні.

Зовнішніх порушників можна розділити на:

– добре озброєну та технічно оснащену групу, що діє зовні швидко і напролом;

– поодиноких порушників, що не мають допуску на об'єкт і намагаються діяти потайки й обережно, так як вони усвідомлюють, що сили реагування мають перед ним переваги.

Сторонні особи, що можуть бути порушниками:

– клієнти (представники організацій, громадяни);

– відвідувачі (запрошені з якого-небудь приводу);

– представники організацій, взаємодіючих з питань забезпечення систем життєдіяльності організації (енерго-, водо-, теплопостачання тощо);

– представники конкуруючих організацій (іноземних служб) або особи, що діють за їх завданням;

– особи, які випадково або навмисно порушили пропускний режим (без мети порушити безпеку);

– будь-які особи за межами контрольованої зони.

Потенціальних внутрішніх порушників можна розділити на:

– допоміжний персонал об'єкту, що допущений на об'єкт, але не допущений до життєво важливого центру ІТС;

Ваша оценка очень важна

0
Шрифт
Фон

Помогите Вашим друзьям узнать о библиотеке

Скачать книгу

Если нет возможности читать онлайн, скачайте книгу файлом для электронной книжки и читайте офлайн.

fb2.zip txt txt.zip rtf.zip a4.pdf a6.pdf mobi.prc epub ios.epub fb3