/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>
/>
КУРСОВАЯ РАБОТА
По дисциплине
Информационнаябезопасность
На тему
«Анализ иреинжиниринг системы информационной безопасности на предприятии ГУ БанкаРоссии»
ВВЕДЕНИЕ
Говоря об информационнойбезопасности, в настоящее время имеют в виду, собственно говоря, безопасностькомпьютерную. Действительно, информация, находящаяся на электронных носителяхиграет все большую роль в жизни современного общества. Уязвимость такойинформации обусловлена целым рядом факторов: огромные объемы, многоточечность ивозможная анонимность доступа, возможность «информационныхдиверсий»… Все это делает задачу обеспечения защищенности информации,размещенной в компьютерной среде, гораздо более сложной проблемой, чем, скажем,сохранение тайны традиционной почтовой переписки.
Вследствие этогонастоящая работа посвящена именно проблеме обеспечения информационнойбезопасности именно в компьютерной среде. Если говорить о безопасностиинформации, сохраняющейся на традиционных носителях (бумага, фотоотпечатки ит.п.), то ее сохранность достигается соблюдением мер физической защиты (т.е.защиты от несанкционированного проникновения в зону хранения носителей). Другиеаспекты защиты такой информации связаны со стихийными бедствиями и техногеннымикатастрофами. Таким образом, понятие «компьютерной» информационнойбезопасности в целом является более широким по сравнению с информационнойбезопасностью относительно «традиционных» носителей.
Если говорить о различияхв подходах к решению проблемы информационной безопасности на различных уровнях(государственном, региональном, уровне одной организации), то такие различияпросто не существуют. Подход к обеспечению безопасности Государственнойавтоматизированной системы «Выборы» не отличается от подхода кобеспечению безопасности локальной сети в маленькой фирме. Поэтому принципыобеспечения информационной безопасности в данной работе рассматриваются напримерах деятельности отдельной организации.1.Потенциальные УГРОЗЫ ЗАЩИЩАЕМОЙ информациИ
Внастоящем разделе под угрозами понимаются факторы, воздействующие на защищаемуюинформацию: явления, действия или процессы, результатом которых могут бытьутечка, искажение, уничтожение защищаемой информации, блокирование доступа к ней.
Приорганизации подсистемы информационной безопасности РАБИС-НП на объектахинформатизации должны учитываться в качестве вероятных следующие факторы,способные воздействовать на защищаемую информацию РАБИС-НП.
1) Объективные факторы, воздействующие на защищаемуюинформацию (внутренние факторы):
– передачасигналов по проводным линиям связи;
– передачасигналов по оптико-волоконным линиям связи;
– дефекты,сбои, отказы, аварии технических средств и систем объекта информатизации;
– дефекты,сбои и отказы программного обеспечения объекта информатизации;
2) Объективные факторы, воздействующие на защищаемуюинформацию (внешние факторы):
– явлениятехногенного характера (сбои, отказы и аварии систем обеспечения объектаинформатизации);
– природныеявления, стихийные бедствия (термические факторы, климатические факторы,механические факторы, электромагнитные факторы, биологические факторы);
3) Субъективные факторы, воздействующие на защищаемуюинформацию (внутренние факторы):
– разглашениезащищаемой информации лицами, имеющими к ней право доступа(разглашениеинформации лицам, не имеющим права доступа к защищаемой информации; передачаинформации по открытым линиям связи; обработка информации на незащищенныхтехнических средствах обработки информации; копирование информации нанезарегистрированный носитель информации; передача носителя информации лицу, неимеющему права доступа к ней; утрата носителя с информацией;
– неправомерныедействия со стороны лиц, имеющих право доступа к защищаемой информации(несанкционированноеизменение информации; несанкционированное копирование информации);
– несанкционированныйдоступ к защищаемой информации (подключение к техническим средствам и системамобъекта информатизации; использование закладочных устройств; хищение носителя сзащищаемой информацией; нарушение функционирования технических средствобработки информации);
– использованиепрограммного обеспечения технических средств объекта информатизации:
- маскировка под зарегистрированногопользователя;
- использование дефектов программногообеспечения объекта информатизации (использование программных закладок,применение программных вирусов);
– неправильноеорганизационное обеспечение защиты информации (неправильное задание требованийпо защите информации; несоблюдение требований по защите информации;неправильная организация контроля эффективности защиты информации);
– ошибкиобслуживающего персонала объекта информатизации (ошибки при эксплуатациитехнических средств; ошибки при эксплуатации программных средств; ошибки приэксплуатации средств и систем защиты информации);
4) Субъективные факторы, воздействующие на защищаемуюинформацию (внешние факторы):
– несанкционированныйдоступ к защищаемой информации (подключение к техническим средствам и системамобъекта информатизации; использование закладочных устройств;несанкционированный физический доступ на объект информатизации; хищениеносителя с защищаемой информацией);
- использованиедефектов программного обеспечения объекта информатизации (использование программныхзакладок, применение программных вирусов);
– блокированиедоступа к защищаемой информации путем перегрузки технических средств обработкиинформации ложными запросами на ее обработку;
– действиякриминальных групп и отдельных преступных субъектов (диверсия в отношенииобъекта информатизации).
Дляпредотвращения перечисленных угроз в автоматизированной системе в целом и накаждом ее объекте информатизации должен обеспечиваться комплекс мер по защитеинформации, включающих:
– административныеи организационно-технические мероприятия (регламент работ, охрана, ограничениефизического доступа к системе, планирование действий в чрезвычайных ситуациях,и т.п.);
– резервированиеи дублирование ответственных компонентов системы;
– разграничениедоступа;
– контрольцелостности системы;
– регистрацию(аудит) действий пользователей в системе;
– защитуэлектронного документооборота системы (использование средств защиты иаутентификации электронных сообщений, архивов электронных сообщений,технологического контроля электронных сообщений, шифрование данных при передачеэлектронных сообщений по каналам связи, и т.д.).
/>/>/>2. ОСНОВНЫЕНАПРАВЛЕНИЯ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ РАБИС-НП/>/>/> 2.1. Защищаемые объекты РАБИС-НП
Перечень основных защищаемыхобъектов РАБИС-НП включает:
– аппаратныесредства вычислительных установок серверов и рабочих станций, а также средстваорганизации локальной сети и телекоммуникаций, используемые автоматизированнойсистемой;
– системныепрограммные средства и прикладное программное обеспечение смежных подсистем,обеспечивающие функционирование ТПК «РАБИС-НП»;
– дистрибутивыи пакеты модификации ТПК «РАБИС-НП;
– технологическиеи тестовые подсистемы, используемые для сопровождения программного обеспечения;
– рабочиеподсистемы (УБР, ТЦОИ, ЦОИ, КЦОИ) РАБИС-НП;
– средстваорганизации электронного документооборота системы (средства криптографическойзащиты информации и их ключи, средства технологического контроля, и т.д.)
– электронныесообщения (электронные документы) и их архивы.2.2. Обзор направлений защиты информации РАБИС-НП
Основныенаправления обеспечения информационной безопасности РАБИС-НП представлены наРис. 1.
Тщательноепланирование конфигурации локальных сетей учреждений, применение межсетевыхэкранов для изоляции сегментов локальной сети расчетной системы РАБИС-НП отлокальных или глобальных сетей, используемых в других целях, обеспечениебезопасной конфигурации аппаратных и системных средств вычислительныхкомплексов являются важнейшими задачами служб эксплуатации, информатизации итехнической защиты информации на объектах автоматизации.
Обеспечениецелостности дистрибутивов и пакетов модификации ТПК «РАБИС-НП» является сферойответственности разработчика программного обеспечения.
Защитатехнологических и тестовых подсистем сопровождения ТПК «РАБИС-НП» обеспечиваетсяслужбами эксплуатации и информатизации объектов автоматизации, и состоит вмаксимальном ограничении доступа к этим подсистемам.