Спойлер все лабы с КАВКАЗА

Таблица 2 – Модель угроз ИСПДн «предприятия» (продолжение)

Угрозы доступа к ТС и системам обеспечения

нарушение функционирования кабельных линий связи, оборудования

нарушение функционирования ТС обработки информации, НЖМД

Таблица 2 – Модель угроз ИСПДн «предприятия» (продолжение)

Контрольные вопросы

Какие показатели необходимо рассчитать для построения модели угроз ПДн?

Что обозначает коэффициент реализуемости угрозы? Какие угрозы являются актуальными?

В соответствии с каким нормативным документом строится модель

угроз?

В соответствии с каким нормативным документом, и в каких случаях строится модель нарушителя?

Лабораторная работа 6.

Изучение действующей нормативной документации

объекта информатизации

Цель работы: изучить действующую нормативную документацию объекта информатизации.

Теоретическая часть

Основным документом, регламентирующим безопасность объекта информатизации, является политика информационной безопасности.

Политика информационной безопасности – это совокупность правил, процедур, практических методов и руководящих принципов в области ИБ, используемых организацией в своей деятельности.

Прежде всего политика необходима для того, чтобы донести цели и задачи информационной безопасности компании. Необходимо понимать, что безопасник это не только инструмент для расследования фактов утечек данных, но и помощник в минимизации рисков компании, а следовательно — в повышении прибыльности компании.

Согласно отечественному стандарту ГОСТ Р ИСО/МЭК 17799-2005, политика информационной безопасности должна устанавливать ответственность руководства, а также излагать подход организации к управлению информационной безопасностью. В соответствии с указанным стандартом, необходимо, чтобы политика информационной безопасности предприятия как минимум включала:

определение информационной безопасности, её общих целей и

сферы действия, а также раскрытие значимости безопасности как

инструмента, обеспечивающего возможность совместного использования

информации

изложение целей и принципов информационной безопасности,

сформулированных руководствомкраткое изложение наиболее существенных для организации

политик безопасности, принципов, правил и требований, например, таких

управление непрерывностью бизнеса;

информирование об инцидентах нарушения информационной безопасности ссылки на документы, дополняющие политику информационной

безопасности, например, более детальные политики и процедуры для

конкретных информационных систем, а также правила безопасности,

которым должны следовать пользователи.

Политика информационной безопасности компании должна быть утверждена руководством, издана и доведена до сведения всех сотрудников в

доступной и понятной форме.

Для того чтобы политика информационной безопасности не оставалась

только «на бумаге» необходимо, чтобы она была:

непротиворечивой – разные документы не должны по разному

описывать подходы к одному и тому же процессу обработки информациине запрещала необходимые действия – в таком случае неизбежные

массовые нарушения приведут к дискредитации политики информационной

безопасности среди пользователей

не налагала невыполнимых обязанностей и требований. В организации должно быть назначено лицо, ответственное за

политику безопасности, отвечающее за её эффективную реализацию и регулярный пересмотр.

При разработке политики следует помнить о двух моментах.

выражений , однако должны быть ознакомлены с положениями политики. Не нужно пытаться включить в этот документ все, что можно. Здесь

должны быть только цели ИБ, методы их достижения и ответственность!

Никаких технических подробностей, если они требуют специфических знаний. Это все — материалы для инструкций и регламентов.

Конечный документ должен удовлетворять следующим требованиям:

Пример положения о конфиденциальной информации находится во вложении.

Законы, регулирующие порядок работы с конфиденциальной информацией:

Федеральный закон "О защите персональных данных"

Федеральный закон О персональных данных. Данный закон, в частности, определяет требования к информационным системам персональных данных и регламентирует необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним.

Закон об архивном деле Федеральный закон Об архивном деле. Этот закон регулирует

отношения в сфере организации хранения, комплектования, учета и использования документов Архивного фонда Российской Федерации и других архивных документов независимо от их форм собственности.

Федеральный закон "О коммерческой тайне"

Федеральный закон о коммерческой тайне. Этот закон регулирует отношения, связанные с отнесением информации к коммерческой тайне, передачей такой информации, охраной ее конфиденциальности.

Закон HIPAA

(Health Insurance Portability and Accountability Act of 1996) гласит, что:

«Все медицинские, страховые и финансовые организации, работающие с чувствительной медицинской информацией должны хранить не менее 6 лет всю свою электронную документацию».

Федеральный закон "О связи".

Настоящий Федеральный закон устанавливает правовые основы деятельности в области связи на территории Российской Федерации и на находящихся под юрисдикцией Российской Федерации территориях, определяет полномочия органов государственной власти в области связи, а также права и обязанности лиц, участвующих в указанной деятельности или пользующихся услугами связи.

Доктрина информационной безопасности.

Данный документ — совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности РФ. Доктрина служит основой для: • формирования государственной политики в области обеспечения ИБ РФ; • подготовки предложений по совершенствованию правового, методического, научнотехнического и организационного обеспечения ИБ РФ; • разработки целевых программ обеспечения ИБ РФ. Доктрина ИБ РФ была утверждена 9.09.2000 года Президентом Российской Федерации В.В. Путиным.

Федеральный закон "Об информации, информационных технологиях и о защите информации".

Закон «Об информации, информационных технологиях и защите информации» определяет и закрепляет права на защиту информации и информационную безопасность граждан и организаций в ЭВМ и в информационных системах, а также вопросы информационной безопасности граждан, организаций, общества и государства. В законе дано правовое определение понятия «информация»: «информация — сведения (сообщения, данные) независимо от формы их представления».

Федеральный закон "Об электронной цифровой подписи"

В Законе РФ от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи» прописаны условия использования ЭЦП, особенности её использования в сферах государственного управления и в корпоративной информационной системе. Благодаря ЭЦП теперь, в частности, многие российские компании осуществляют свою торгово-закупочную деятельность в Интернете, через «Системы электронной торговли», обмениваясь с контрагентами необходимыми документами в электронном виде, подписанными ЭЦП. Это значительно упрощает и ускоряет проведение конкурсных торговых процедур.

Типовой регламент резервного копирования данных

Практическое задание

Составить перечень внутренних нормативных документов предприятия регламентирующих защиту информацию.

Провести сравнение имеющегося перечня нормативных документов с необходимым.

Написать один из внутренних документов, которые отсутствует на объекте информатизации.

Контрольные вопросы

Назовите структуру нормативных документов предприятия.

Какой документ по защите информации является первичным нормативным актом на предприятии?

Перечислите законы, регулирующие порядок работы с конфиденциальной информацией.

Что регулирует закон об архивном деле?

Что регулирует Федеральный закон "О защите персональных

данных"?

Что регулирует Федеральный закон "О коммерческой тайне"? Что регулирует Федеральный закон "О связи"?

Перечислите общий список внутренних нормативных документов, которые должны быть на любом объекте информатизации?

Лабораторная работа 7.

Составление плана мероприятий по улучшению защищённости

объекта информатизации

Цель работы: изучить методику составления плана мероприятий по улучшению защищённости объекта информатизации.

Теоретическая часть

Объект информатизации - совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, а также средств их обеспечения, помещений или объектов (зданий, сооружений, технических средств), в которых эти средства и системы установлены, или помещений и объектов, предназначенных для ведения конфиденциальных переговоров.

На рынке защиты информации предлагается много отдельных инженерно-технических, программно-аппаратных, криптографических средств защиты информации. В литературе по защите информации можно найти описание методов и средств на их основе, теоретических моделей защиты. Однако для того, чтобы создать на предприятии условия эффективной защиты информации, необходимо объединить отдельные средства защиты в систему. При этом надо помнить, что главным элементом этой системы является человек. Причем человек является ключевым элементом системы и вместе с тем самым трудно формализуемым и потенциально слабым ее звеном.

Создание системы защиты информации (СЗИ) не является главной задачей предприятия, как, например, производство продукции и получение прибыли. Поэтому создаваемая СЗИ не должна приводить к ощутимым трудностям в работе предприятия, а создание СЗИ должно быть экономически оправданным. Тем не менее она должна обеспечивать защиту важных информационных ресурсов предприятия от всех реальных угроз.

План защиты информации решается достаточно эффективно применением в основном организационных мер. К ним относятся: режимные мероприятия, охрана, сигнализация и простейшие программные средства защиты информации

Главная цель создания СЗИ — достижение максимальной эффективности защиты за счет одновременного использования всех необходимых ресурсов, методов и средств, исключающих несанкционированный доступ к защищаемой информации и обеспечивающих физическую сохранность ее носителей.