Статья на тему "Разработка политики информационной безопасности для автоматизированных информационных систем в защищенном исполнении"

Негосударственное образовательное учреждение высшего образования
Московский технологический институт

Факультет: Техники и современных технологий

Кафедра: Информатики и автоматизации

Уровень образования: Бакалавриат ФГОСЗ+_
Направление: Информатика и вычислительная техника
Профиль: Автоматизированное управление бизнес процессами и финансами

ТЕМА: Разработка политики информационной безопасности для автоматизированных информационных систем в защищенном исполнении

Студента:
Ф.И.О. (полностью)
(подпись)

Руководитель:
ученая степень, звание Ф.И.О. (полностью)
(подпись)

Допущен к защите:

Зав.кафедрой:
ученая степень, звание Ф.И.О. (полностью)
(подпись)

« » 20 г.

Москва 2018 г.

ОГЛАВЛЕНИЕ

ВВЕДЕНИЕ 5
ГЛАВА 1. ОБЗОР НОРМАТИВНО ПРАВОВЫХ АКТОВ И ТИПОВЫХ МЕТОДОВ ЗАЩИТЫ ИНФОРМАЦИИ 9
1.1 Основы государственной политики РФ в области информационной безопасности 9
1.1.1. Доктрина информационной безопасности Российской Федерации 11
1.1.2. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» 13
1.1.3. Федеральный закон от 27 июля 2006 г. № 152-ФЗ "О персональных данных" 14
1.1.4. Федеральный закон от 26.07.2017 № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации" 16
1.2. Классификация источников угроз информации в автоматизированных системах 17
1.3. Меры противодействия угрозам безопасности в автоматизированных системах 24
ГЛАВА 2. ОБЩЕЕ ОПИСАНИЕ И АНАЛИЗ ТЕКУЩЕГО СОСТОЯНИЯ ИНФОРМАЦИОННОЙ СИСТЕМЫ В ЗАЩИЩЕННОМ ИСПОЛНЕНИИ В ГЛАВНОМ УПРАВЛЕНИИ ЗАГС МОСКОВСКОЙ ОБЛАСТИ 31
2.1. Назначение и краткое описание ИС 31
2.1.1. Сведения об архитектуре системы 31
2.1.2. Состав системы, назначение подсистем и модулей 34
2.2. Описание технологического процесса обработки информации в государственной информационной системе 37
2.2.1. Общие сведения о системе 37
2.2.2. Перечень субъектов доступа и уровней их полномочий 39
2.2.3. Перечень объектов доступа 39
2.2.4. Режимы обработки информации 40
2.2.5. Особенности обработки, хранения, удаления информации,
а так же доступа к информации 40
2.2.6. Информация о путях и способах поступления информации
в информационную систему и ее сегменты 42
2.2.7. Состав и схемы размещения средств защиты информации, используемых на объекте информатизации 42
2.2.8. Особенности обработки, хранения, удаления информации,
а так же доступа к информации 43
2.2.9. Перечень защищаемых ресурсов Сегмента информационной системы 43
2.2.10. Порядок взаимодействия типового сегмента с другими типовыми сегментами информационной системы 44
ГЛАВА 3. ОПТИМИЗАЦИЯ ПОЛИТИКИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ АВТОМАТИЗИРОВАННЫХ СИСТЕМ В ЗАЩИЩЕННОМ ИСПОЛНЕНИИ В ГЛАВНОМ УПРАВЛЕНИИ ЗАГС МОСКОВСКОЙ ОБЛАСТИ 49
3.1 Модернизация системы технических и программных средств защиты от несанкционированного доступа 49
3.1.1. Оптимизация использования текущих средств защиты АРМ 49
3.1.2. Оптимизация работы средств защиты информации в ИС без использования технических средств непосредственно размещенных
на компьютерах ИС 53
3.2. Характеристика источников угроз несанкционированного 54
доступа в информационной системе персональных данных и мероприятия по их устранению связанные с действиями нарушителя
3.2.1. Анализ возможностей внешнего нарушителя и доработка методов противодействия 54
3.2.2. Анализ возможностей внутреннего нарушителя и доработка методов противодействия 55
3.3. Ожидаемые результаты выполнения оптимизации и рекомендуемые на постоянной основе организационные мероприятия 62
ЗАКЛЮЧЕНИЕ 64
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ 66

ВВЕДЕНИЕ

В связи с массовым внедрением в системы управления предприятиями автоматизированных систем (АС) обработки информации, основанных на современных компьютерных и информационных технологиях, остро встала проблема построения необходимой и достаточной системы защиты информации в них. Круг пользователей автоматизированных систем постоянно расширяется, окончательно произошло формирование единой глобальной сети «Интернет», которая даёт возможность миллионам людей получать доступ к ресурсам автоматизированных систем всех стран мира и воздействовать на порядок их работы. Ежегодный ущерб от хищений, мошенничества и ввода различных вирусов через Интернет, по оценкам специалистов, достигает гигантских сумм - более 300 миллиардов долларов. Отсюда вытекает, что без решения комплекса задач по информационной защите АС не смогут нормально функционировать и выполнять возложенные на них задачи и будут нести в себе постоянную угрозу принятия неверных решений исходя из искаженных датах в них. [20]
Основным пунктом реализации механизмов защиты информации в АС стоит разработка политики информационной безопасности. Однако, прежде чем к ней приступать, необходимо однозначно определить и сформировать понятийный аппарат в исследуемой области и структурировать информацию по угрозам и мерам защиты автоматизированных систем в соответствии с их классификационными признаками.[21]
Темой исследования является разработка политики информационной безопасности для автоматизированных информационных систем в защищенном исполнении типового сегмента Главного управления ЗАГС Московской области.
Актуальность темы исследования состоит в том, что постоянное проникновение во все сферы жизни человека информационных технологий
создает не только удобство для граждан, позволяющая им проще и эффективнее реализовывать свои права и обязанности перед обществом, но и требует обеспечения сохранности и конфиденциальности информации. В некоторых странах достаточно распространенным видом преступлений становится так называемая кража цифровой личности человека - вор живет под именем пострадавшего, ни в чем себе не отказывая. Обобрав чужую личность, вор оставляет пострадавшего наедине с долгами и ищет новую жертву [36].
Информационная система Главного управления ЗАГС содержит информацию о гражданах Московской области, начиная с выдачи им самого первого их личного официального документа - свидетельства о рождении и заканчивая проводами гражданина в последний путь, выдавая свидетельство о смерти. Учитывая хранение такого вида информации в цифровом виде за значительный (в некоторых районах Московской области с 1929 года) промежуток времени, политика информационной безопасности должна постоянно предотвращать и отвечать на возникающие новые способы и методы хищения, искажения и уничтожения информации в цифровых информационных системах.
Объектом исследования являются современные методы и способы защиты информации, применяемые в настоящее время на территории Российской Федерации
Предметом исследования является политика информационной безопасности типового сегмента автоматизированной системы Главного управления ЗАГС Московской области.
Цель работы – оптимизировать политику информационной безопасности для автоматизированных информационных систем в защищенном исполнении типового сегмента Главного управления ЗАГС Московской области.
Задачами, требующими исследования, являются:
- описать и провести анализ текущего состояния политики информационной безопасности Главного управления ЗАГС Московской области;
- провести исследование порядка взаимодействия типового сегмента с другими информационными системами системы на предмет возможных угроз;
- проанализировать использование текущих средств защиты АРМ и подготовить предложения по оптимизации;
- доработать в соответствии с текущими реалиями регламенты пользователей и средства защиты информации в информационной системе;
- исследовать источники угроз несанкционированного доступа в информационной системе персональных действиями внешнего нарушителя;
- классифицировать виды внутреннего нарушителя и описать его возможности, провести доработку методов противодействия нарушения политик информационной безопасности для этого типа нарушителей.
Практическая значимость работы заключается в сохранении бюджетных средств Московской области на обеспечение мероприятий по информационной безопасности, повышения уровня защищенности и улучшения сохранности информации в информационной системе Главного управления ЗАГС Московской области.
В первой главе будут рассмотрена нормативно-правовая база и типовые методы защиты информации.
Рассмотренная информация будет использована при оценке и описании текущей организации работы типового сегмента информационной системы Главного управления ЗАГС Московской области во второй главе
Предлагаемые мероприятия и проработка рекомендаций по совершенствованию существующей политики информационной безопасности описаны в третьей главе.
Для проведения исследований использованы последние работы и
публикации в данной сфере науки - Ю.Н. Юденкова[33], И.С. Афониной[10], Е.С. Евстрантенко[19], в которых рассматриваются вопросы теоретических и практических основ разработки политики безопасности в государственных и частных структурах.
За базовые учебные пособия при разработке положений данного раздела взяты труды известного учёного в области информационной безопасности В.Ф. Шаньгина "Защита компьютерной информации. Эффективные методы и средства"[34] и "Информационная безопасность компьютерных систем и сетей"[35]. Однако, представляется важным отметить тот факт, что новые уязвимости и угрозы в автоматизированных информационных системах появляются постоянно, становясь все более изощренными, что требует системной доработки и дополнение перечисленных материалов указанных документов в соответствии с реалиями настоящего дня.

Правовые акты

Список использованной литературы

1. Конституция Российской Федерации //с учетом поправок, внесенных Законами РФ о поправках к Конституции РФ от. – 2008. – №. 6-ФКЗ.
2. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
3. Федеральный закон от 27 июля 2006 года № 152-ФЗ "О персональных данных" (с изменениями от 29 июля 2017 г.)
4. Федеральный закон от 26.07.2017 № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"
5. Указ Президента Российской Федерации от 5 декабря 2016 года № 646 «Об утверждении доктрины информационной безопасности Российской Федерации».
6. Приказ ФСТЭК России от 18 февраля 2013 г. №21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных
7. Приказ ФСТЭК России от 23 марта 2017г №49 "О внесении изменений в Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. N 21, и в Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденные приказом Федеральной службы по
техническому и экспортному контролю от 14 марта 2014 г. N 31"
8. Приказ ФСТЭК России от 11 февраля 2013г. №17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах"
9. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (выписка). ФСТЭК России, 2008 г.

Источники на русском языке

10. Афонина И.С., Исаева Т.С., Буйная Е. В. Информационная безопасность автоматизированных систем //Экономика и социум. – 2016. –
№. 4-1. – С. 149-154
11. Бабаш А.В., Баранова Е.К., Мельников Ю.Н.: Информационная безопасность. Лабораторный практикум, Кнорс, 2013 136с
12. Баришполец В.А., Шойгу Ю.С., Дурнев В,Ф.: Безопасность России. Основы информационно-психологической безопасности МГФ Знание, 2012 416с
13. Бирюков А.А. Информационная безопасность. Защита и нападение, ДМК-Пресс, 2017 434с.
14. Бондарев В.В. Введение в информационную безопасность автоматизированных систем Издательство МГТУ им. Баумана 2016 253с.
15. Варлатая С.К., Шаханова М.В. : Криптографические методы и средства обеспечения информационной безопасности. Проспект, 2017, 152с
16. Венгеров Б. Теория государства и права : учебник для юридических вузов / А.. - 6-е изд., стер. - М. : Омега-Л, 2014. - 607с
17. Гаврилов А.Д., Волосенков В.О. Угрозы информационной безопасности автоматизированной системы обработки данных //Проблемы безопасности российского общества. – 2013. – №. 4. – С. 85-92.
18. Девянин О.О., Михальский Д.И., Правиков и др. Теоретические
основы компьютерной безопасности./ П.Н. М.: Радио и связь, 2012. –192с.
19. Евстратенко Е.С., Селифанов В.В., Таратынова У.В. Построение системы защиты информации государственной информационной системы с учетом политик информационной безопасности, разработанных в соответствии с ГОСТ Р ИСО/МЭК 27001 //Научные исследования: от теории к практике. – 2016. – №. 1. – С. 157-159.
20. Ерохин В.В., Погонышева Д.А., Степченко И.Г., Безопасность информационных систем Флинта, 2016 184с
21. Завгородний В.И. Комплексная защита информации в компьютерных сетях/– М.: МО РФ, 2009. – 259с
22. Загинайлов Ю.Н Теория информационной безопасности и методология защиты информации.:. – Directmedia, 2015 - 253 c.
23. Кузнецов Н.А., Кульба В.В., Микрин Е.А. Информационная безопасность систем организационного управления. Теоретические основы. В 2 т. Том 1 Наука 2006 495с
24. Нестеров С.А. Основы информационной безопасности. Учебное пособие Лань, 2017 324с.
25. Параскевов А.В., Левченко А.В., Кухоль Ю.А. Сравнительный анализ правового регулирования защиты персональных данных в России и за рубежом //Политематический сетевой электронный научный журнал Кубанского государственного аграрного университета. – 2015. – №. 110.
26. Попов И.Ю., Наумов А.Д. Метод оценки соответствия обеспечения безопасности персональных данных в информационных системах требованиям регулятора //Научно-технический вестник Поволжья. – 2016. –
№. 6. – С. 166-168.
27. Петренко С.И., Курбатов В.А., Петренко С.А. Политики информационной безопасности ДМК-Пресс, 2011 400с
28. Родичев Ю. Нормативная база и стандарты в области информационной безопасности. Учебное пособие Питер, 2017 256с
29. Скурлаев С.В., Соколов А.Н. Применение технологии Windows To Go в автоматизированных системах классов 2А и 3А с сертифицированными средствами защиты информации //Вестник УрФО. Безопасность в информационной сфере. – 2015. – №. 4. – С. 12-15
30. Скурлаев С.В., Соколов А.Н. Технические решения, применяемые для защиты от несанкционированного доступа в системах классов ЗА и 2А
//Безопасность информационного пространства.—Екатеринбург, 2014. – 2014. – С. 194-199
31. Скрабцов Н. Аудит безопасности информационных систем . Питер, 2017 287стр.
32. Семенов Ю.А. Алгоритмы телекоммуникационных сетей. Часть 3. Процедуры, диагностика, безопасность. Бином, лаборатория знаний, 2016 511
33. Юденков Ю. Н. Политика информационной безопасности и контроль информационных потоков в коммерческом банке //Инновации и инвестиции. – 2016. – №. 2. – С. 61-68.
34. Шаньгин В. Ф Защита компьютерной информации. Эффективные методы и средства /. - М. ДМК Пресс, 2013. - 544 с.
35. Шаньгин В.Ф. Информационная безопасность компьютерных систем и сетей: Учебное пособие / - М.: ИД ФОРУМ: ИНФРА-М, 2012. - 416с
36. Шунейко А.А., Авдеенко И.А., Информационная безопасность человека, учебное пособие Владос 2017 167с.

Электронные ресурсы
37. Kaspersky Security для бизнеса: обзор линейки решений [Электронный ресурс]. (дата обращения 20.01.2018г.)
38. SECRET NET функциональные возможности [Электронный ресурс]

WEB.pdf (дата обращения 20.01.2018г.)
39. Комплексная система автоматизации органов ЗАГС (КСАО ЗАГС) [Электронный ресурс]. (дата обращения 20.01.2018г.)
40. Модель нарушителя безопасности персональных данных [Электронный ресурс]. (дата обращения 20.01.2018г.)
41. Открытая модель угроз информации [Электронный ресурс]. (дата обращения 20.01.2018г.).