|
Архитектура Аудит Военная наука Иностранные языки Медицина Металлургия Метрология Образование Политология Производство Психология Стандартизация Технологии |
|
|
Архитектура Аудит Военная наука Иностранные языки Медицина Металлургия Метрология Образование Политология Производство Психология Стандартизация Технологии |
Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения).
ЗАДАНИЕ НА ДИПЛОМНЫЙ ПРОЕКТ
Студент (ка) Глушаков Ярослав Андреевич (Фамилия Имя Отчество)
1. Тема дипломного проекта:
Утверждена приказом университета № ___________ от «___»_____________ 2012 г.
2. Срок сдачи студентом законченного проекта «18»Мая 2012 г.
Исходные данные по дипломному проекту В качестве исходных данных использовать результаты преддипломной практики, а также теоретические данные, полученные на занятиях по курсам кафедры, отечественные и зарубежные нормативно-правовые акты по аспектами информационной безопасности и защиты информации: Методические указания по диплому ИБ 2012; Описание функционирования предприятия; Описание системы пожаротушения; Описание системы контроля и доступа; Описание системы защиты баз данных; Схема корпоративной сети предприятия; Учебная и методическая литература (см. список литературы).
Содержание разделов дипломного проекта
Введение I Аналитическая часть 1.1. Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения). 1.1.1. Общая характеристика предметной области. 1.1.2. Организационно-функциональная структура предприятия. 1.2. Анализ рисков информационной безопасности 1.2.1 Идентификация и оценка информационных активов. 1.2.2. Оценка уязвимостей активов. 1.2.3. Оценка угроз активам. 1.2.4. Оценка существующих и планируемых средств защиты. 1.2.5. Оценка рисков. 1.3. Характеристика комплекса задач, задачи и обоснование необходимости совершенствования системы обеспечения информационной безопасности и защиты информации на предприятии 1.3.1. Выбор комплекса задач обеспечения информационной безопасности. 1.3.2. Определение места проектируемого комплекса задач в комплексе задач предприятия, детализация задач информационной безопасности и защиты информации. 1.4. Выбор защитных мер 1.4.1. Выбор организационных мер. 1.4.2. Выбор инженерно-технических мер. II Проектная часть 2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия. 2.1.1. Отечественная и международная нормативно-правовая основа создания системы обеспечения информационной безопасности и защиты информации предприятия. 2.1.2. Организационно-административная основа создания системы обеспечения информационной безопасности и защиты информации предприятия. 2.2. Комплекс проектируемых программно-аппаратных средств обеспечения информационной безопасности и защиты информации предприятия. 2.2.1 Структура программно-аппаратного комплекса информационной безопасности и защиты информации предприятия. 2.2.2. Контрольный пример реализации проекта и его описание. III Обоснование экономической эффективности проекта 3.1 Выбор и обоснование методики расчёта экономической эффективности 3.2 Расчёт показателей экономической эффективности проекта Заключение Приложения 5. Основные вопросы, подлежащие разработке В главе 1 необходимо представить обоснование актуальности выбора задачи обеспечения информационной безопасности, обосновать и изложить используемую стратегию действий по защите информационных ресурсов, результаты анализа предметной области, а также обоснование и результаты выбора административных и инженерно-технических мер. В разделе 1.1. необходимо привести краткое описание компании и таблицу показателей ее деятельности, рисунок организационной структуры и его описание. В разделе 1.2 следует провести анализ рисков информационной безопасности, для чего необходимо: · идентифицировать информационные активы; · ранжировать их по степени важности; · определить активы, которые относятся к конфиденциальным; · оценить уязвимость активов; · оценить степень угроз выбранным информационным активам; · дать характеристику действующей системе защиты информации на предприятии на предмет полноты и адекватности реагирования на угрозы информационной безопасности. · провести обоснование выбора методики оценки рисков с последующим проведением оценки. Требования по содержанию и форме представления информации (текстовая часть, таблицы, рисунки, схемы) изложены в соответствующем разделе Методических рекомендаций. В разделе 1.3 необходимо кратко специфицировать комплекс задач, подлежащих дальнейшему решению. Необходимо отразить причину сделанного выбора и место задачи в комплексе задач. В разделе 1.4 необходимо провести анализ и обоснование выбора: · стратегии обеспечения информационной безопасности · организационных и инженерно-технических мер обеспечения информационной безопасности; · необходимых документов, регламентирующих проведение мероприятий по обеспечению информационной безопасности
В главе 2 необходимо представить проектные решения в соответствии с выбранным направлением обеспечения информационной безопасности. В разделе 2.1 необходимо провести выбор нормативных актов отечественного и международного права, которые будут использоваться в качестве основы для разработки внутренних нормативных документов, а также разработать образцы документов в соответствии с выбранной темой. Раздел 2.2 должен содержать описание внедряемых (разрабатываемых) программно-аппаратных средств информационной безопасности, а также описание контрольного примера применения выбранных средств информационной безопасности. Требования по содержанию и форме представления информации (текстовая часть, таблицы, рисунки, схемы) изложены в соответствующем разделе Методических рекомендаций. В главе 3 приводится методика расчета показателей экономической эффективности и расчеты, выполненные в соответствии с изложенной методикой. Расчетные данные следует представить в виде таблиц и диаграмм, отражающие сравнение величины ущерба до и после реализации мер по защите информации. Приложение обязательно должно содержать формы внутренних нормативных документов. Кроме того также могут быть приведены:
С детальным рассмотрением содержания каждого пункта, а также примерами схем и таблиц необходимо ознакомиться в «Методических указания по дипломному проектированию для направления «Информационные системы», специальности «Информационные системы и технологии», специализация «Безопасность информационных систем», размещенных на сайте факультета ИСиТ в разделе «Материалы». При подготовке дипломного проекта вы можете пользоваться дополнительными литературными источниками, а также основной литературой, список которой приведен ниже.
Список литературы 1. Доктрина информационной безопасности Российской Федерации; 2. Федеральный закон РФ от от 27.07.2006 г. N 149-ФЗ Об информации, информационных технологиях и о защите информации; 3. ГОСТ Р ИСО/МЭК 15408-1-2002. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Части 1-3; 4. Ярочкин В.И. Информационная безопасность. Учебник для вузов. – 5-е издание. – М.: Академический проект, 2008. (Gaudeamus); 5. Торокин А.А. Инженерно-техническая защита информации: учебное пособие для студентов, обучающихся в области информационной безопасности. – М.: Гелиос АРВ. 2005. 6. Шаньгин В.Ф. Защита компьютерной информации. Эффективные методы и средства. – М.: ДМК Пресс, 2008. 7. Куприянов А.И. Основы защиты информации. Учебное пособие для студентов высших учебных заведений./ А.И.Куприянов, А.В.Сахаров, В.А.Швецов. – М.: Издательский центр академия, 2006. 8. Курило А.П., Зефиров С.Л. Голованов В.Б. Аудит информационной безопасности. – М.: Издательская крупа «БДЦ-пресс», 2006; 9. А.П.Алферов, А.Ю.Зубов, А.С.Кузьмин, А.В.Черемушкин. Основы криптографии: Учебное пособие. – М.: Гелиос АРВ, 2005; 10. Петраков А.В. Основы практической защиты информации. – 4-е издание, дополненное. Учебное пособие. – М.: СОЛОН-Пресс, 2005.
Дата выдачи задания «5» Марта 2012 г.
Заведующий кафедрой ___________________ подпись Руководитель дипломного проекта ___________________ подпись Консультант дипломного проекта ___________________ подпись Студент ___________________ подпись
КАЛЕНДАРНЫЙ ПЛАН
Студент ____________ / Глушаков Я.А/ подпись ФИО Дата «10» мая 2012 г. Руководитель проекта ____________ / Лихоносов А.Г/ подпись ФИО Дата «10» мая 2012 г. ОГЛАВЛЕНИЕ ВВЕДЕНИЕ.. 9 I. АНАЛИТИЧЕСКАЯ ЧАСТЬ.. 11 1.1. Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения). 11 1.1.1. Общая характеристика предметной области. 11 1.1.2. Организационно-функциональная структура предприятия. 12 1.2. Анализ рисков информационной безопасности. 15 1.2.1. Идентификация и оценка информационных активов. 16 1.2.2. Оценка уязвимостей активов. 23 1.2.3. Оценка угроз активам. 29 1.2.4. Оценка существующих и планируемых средств защиты. 32 1.2.5. Оценка рисков. 47 1.3. Характеристика комплекса задач, задачи и обоснование необходимости совершенствования системы обеспечения информационной безопасности и защиты информации на предприятии. 50 1.3.1. Выбор комплекса задач обеспечения информационной безопасности и защиты информации исходя из выполняемых предприятием задач и существующих рисков. 50 1.3.2. Определение места проектируемого комплекса задач в комплексе задач предприятия, детализация задач информационной безопасности и защиты информации. 55 1.4. Выбор защитных мер. 61 1.4.1. Выбор организационных мер. 61 1.4.2. Выбор инженерно-технических мер. 65 II. ПРОЕКТНАЯ ЧАСТЬ.. 78 2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия. 78 2.1.1. Отечественная и международная нормативно-правовая основа создания системы обеспечения информационной безопасности и защиты информации предприятия. 78 2.1.2. Организационно-административная основа создания системы обеспечения информационной безопасности и защиты информации предприятия. 90 2.2. Комплекс проектируемых программно-аппартных средств обеспечения информационной безопасности и защиты информации предприятия. 100 2.2.1. Основные сведения о внедряемых программно-аппаратных средствах обеспечения информационной безопасности.. 100 2.2.2. Контрольный пример реализации проекта и его описание. 110 III. ОБОСНОВАНИЕ ЭКОНОМИЧЕСКОЙ ЭФФЕКТИВНОСТИ ПРОЕКТА. 128 3.1. Выбор и обоснование методики расчета экономической эффективности. 128 3.2. Расчёт экономической эффективности. 131 ЗАКЛЮЧЕНИЕ.. 135 СПИСОК ЛИТЕРАТУРЫ... 137 Приложение№1. 138 Введение Обеспечение информационной безопасности – одна из важнейших задач любого предприятия, работающего с информацией, разглашение которой может повредить его деятельности. Примечательным в данной работе является то, что каждый человек понимает необходимость защиты информации, но на практике лишь малая доля из них действительно представляет себе возможные последствия и методы их предотвращения. В сознании большинства людей представление о информационной угрозе складывается в основном из художественных фильмов и телесериалов о «хакерах». На практике же работа по обеспечению информационной безопасности должна учитывать множество факторов, связанных с каждым конкретным защищаемым объектом. С каждым годом скорость появления новых научных открытий неуклонно растет, особенно в сфере информационных технологий. Появляются новые технологии обработки информации, ее хранения, передачи, благодаря чему растут и вычислительные мощности, которые можно направить на преодоление даже самых сложных систем защиты. Развитие физики волн, увеличение чувствительности оборудования, фиксирующего электромагнитные волны, радиоволны порождает все более изощренные методы получения информации, даже не получая непосредственного доступа к компьютеру жертвы. В российском обществе, где еще со времен начала 90х практика использования противоправных средств при ведении бизнеса стала скорее нормой, чем отклонением от нее, угроза информационной безопасности стоит особо актуально. Поэтому администратору необходимо постоянно следить за появлением новых методов в области взлома, прослушивания каналов связи и защитного программного обеспечения. Первым делом необходимо подробно разобрать все бизнес и информационные процессы, протекающие в компании. Если упустить из виду хотя бы небольшие нюансы работы, то они могут послужить основой для дальнейшей деятельности злоумышленника. Однако стоит учитывать и возможность препятствия работе предприятия чрезмерными мерами по защите данных. Следующим шагом должна быть полная инвентаризация имеющегося в компании технического оборудования, обрабатывающего информацию. Если этого не сделать, то использование защитного программного обеспечения может тормозить работу компьютеров сильнее, чем любые вирусные атаки. Так же это необходимо для обеспечения в дальнейшем стабильной работы информационной системы. Затем необходимо определить приоритеты защиты, какую информацию необходимо защищать в первую очередь и сколько на это можно потратить средств, а какую можно оставить вовсе без защиты, если ее потеря или разглашение не несет никакого ущерба. Далее идет непосредственно планирование разрабатываемой системы безопасности. При ее разработке необходимо учесть все возможные угрозы, методы их предотвращения и целесообразность их реализации возможным злоумышленником, ведь не только стоимость обеспечения защиты информации, но и затраты на ее обход должны соответствовать ценности данной информации. Таким образом, администратор должен думать как злоумышленник, но всегда на один шаг вперед. Информационная безопасность состоит из множества взаимосвязанных и последовательных мер, которые в совокупности позволяют достигнуть необходимого уровня безопасности. Однако даже если система продумана достаточно тщательно, но в отдельных ее узлах наблюдаются сбои, такие как недостаточная мощность технических средств или пренебрежение правилами безопасности персоналом, то вся ее деятельность может оказаться напрасной. I. АНАЛИТИЧЕСКАЯ ЧАСТЬ Оценка уязвимостей активов.
Уязвимость информационных активов — тот или иной недостаток, из-за которого становится возможным нежелательное воздействие на актив со стороны злоумышленников, неквалифицированного персонала или вредоносного кода (например, вирусов или программ-шпионов). Уязвимость – есть событие, возникающее как результат такого стечения обстоятельств, когда в силу каких-то причин используемые в защищаемых системах обработки данных средства защиты не в состоянии оказать достаточного противодействия проявлению дестабилизирующих факторам и нежелательного их воздействия на защищаемую информацию. В компьютерной безопасности, термин уязвимость используется для обозначения недостатка в системе, используя который, можно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы, ненадежных паролей, вирусов и других вредоносных программ, скриптовых, а также SQL-инъекций. Некоторые уязвимости известны только теоретически, другие же активно используются и имеют известные эксплойты. Уязвимости информационной системы компании можно определить несколькими способами. Их может описать сотрудник компании (системный администратор или специалист службы информационной безопасности) на основании собственного опыта (возможно, в качестве подсказки для наиболее полного описания множества уязвимостей информационной системы используя классификации уязвимостей). Кроме того, могут быть приглашены сторонние специалисты для проведения технологического аудита информационной системы и выявления ее уязвимостей. Основанием для проведения оценки уязвимости является оценка критичности информационных активов и определения адекватности предпринимаемых мер безопасности по отношению к их значимости.
Показателями уязвимости актива и его особо важных зон являются степень уязвимости в порядковой шкале оценок (пример степеней: высокая, средняя, низкая). После проведения оценки уязвимости предоставляется отчет, который должен в себя включать описание уязвимостей и уязвимых систем. Уязвимости должны быть отсортированы сначала по степени важности, а затем по серверам/сервисам. Уязвимости должны быть расположены в начале отчёта и расставлены в порядке убывания критичности, то есть сначала критические уязвимости, затем с высоким уровнем важности, потом со средним и низким. Результаты оценки уязвимости активов представлены в таблице 3.
Оценка угроз активам. Угроза (потенциальная возможность неблагоприятного воздействия) обладает способностью наносить ущерб системе информационных технологий и ее активам. Если эта угроза реализуется, она может взаимодействовать с системой и вызвать нежелательные инциденты, оказывающие неблагоприятное воздействие на систему. В основе угроз может лежать как природный, так и человеческий фактор; они могут реализовываться случайно или преднамеренно. Источники как случайных, так и преднамеренных угроз должны быть идентифицированы, а вероятность их реализации - оценена. Важно не упустить из виду ни одной возможной угрозы, так как в результате возможно нарушение функционирования или появление уязвимостей системы обеспечения безопасности информационных технологий. В конечном итоге противоправные действия с информацией приводят к нарушению ее конфиденциальности, полноты, достоверности и доступности, что в свою очередь приводит к нарушению, как режима управления, так и его качества в условиях ложной или неполной информации. На рисунке 2 представлены основные виды угроз.
Рисунок 2. Основные виды угроз информационной безопасности.
Исходные данные для оценки угроз следует получать от владельцев или пользователей активов, служащих отделов кадров, специалистов по разработке оборудования и информационным технологиям, а также лиц, отвечающих за реализацию защитных мер в организации. Другие организации, например, федеральное правительство и местные органы власти, также могут оказать помощь при проведении оценки угроз, например, предоставить необходимые статистические данные.
Исходные данные для оценки угроз следует получать от владельцев или пользователей активов, служащих отделов кадров, специалистов по разработке оборудования и информационным технологиям, а также лиц, отвечающих за реализацию защитных мер в организации. Другие организации, например, федеральное правительство и местные органы власти, также могут оказать помощь при проведении оценки угроз, например, предоставить необходимые статистические данные. Ниже приведены некоторые наиболее часто встречающиеся варианты угроз: - ошибки и упущения; При использовании материалов каталогов угроз или результатов ранее проводившихся оценок угроз следует иметь в виду, что угрозы постоянно меняются, особенно в случае смены организацией деловой направленности или информационных технологий. Например, компьютерные вирусы 90-х годов представляют гораздо более серьезную угрозу, чем компьютерные вирусы 80-х. Нужно также отметить, что следствием внедрения таких мер защиты, как антивирусные программы, вероятно, является постоянное появление новых вирусов, не поддающихся воздействию действующих антивирусных программ. После идентификации источника угроз (кто и что является причиной угрозы) и объекта угрозы (какой из элементов системы может подвергнуться воздействию угрозы) необходимо оценить вероятность реализации угрозы. При этом следует учитывать: Классификация возможностей реализации угроз (атак), представляет собой совокупность возможных вариантов действий источника угроз определенными методами реализации с использованием уязвимостей, которые приводят к реализации целей атаки. Цель атаки может не совпадать с целью реализации угроз и может быть направлена на получение промежуточного результата, необходимого для достижения в дальнейшем реализации угрозы. В случае такого несовпадения атака рассматривается как этап подготовки к совершению действий, направленных на реализацию угрозы, т.е. как «подготовка к совершению» противоправного действия. Результатом атаки являются последствия, которые являются реализацией угрозы и/или способствуют такой реализации. Результаты оценки угроз активам представлена в таблице 4.
1.2.4 Оценка существующих и планируемых средств защиты.
Под защитой информации – понимают комплекс организационных, правовых и технических мер по предотвращению угроз информационной безопасности и устранению их последствий. Организация защиты информации в организации – это один из важнейших моментов, который ни в коем случае нельзя упускать из вида. Последствия будут очень серьезными, если произойдет утрата баз данных, результатов аналитических исследований, исходных кодов, программных продуктов. При плохой организации защиты информации это возможно, что приведет к достаточно проблематичному дальнейшему ведению бизнеса, а в определенных случаях невозможным вообще. Задачи по защите информации возлагаются на службу информационных технологий. Организационная структура службы информационных технологий: 1. Структуру и штаты Службы информационных технологий, а также их изменения утверждает Генеральный директор по представлению заместителя генерального директора по информационным технологиям. 2. Служба состоит из одного подразделения, возглавляемого заместителем генерального директора по информационным технологиям. Функции службы информационных технологий: 1. Анализ и изучение проблем обслуживания автоматизированных систем управления Компанией и ее подразделений; 2. Контроль состояния и безопасности сети и сетевого оборудования; 3. Назначение пользователям сети прав доступа; 4. Обеспечение бесперебойного функционирования системы и оборудования и принятие оперативных мер по устранению возникающих в процессе работы нарушений; 5. Установка, настройка и управление программными и аппаратными системами Организации; 6. Подготовка планов проектирования и внедрения автоматизированных систем управления Компанией и контроль за их выполнением; 7. Согласование технических заданий на разработку и внедрения нового программного обеспечения в отрасли на предмет обеспечения сетевого и системного взаимодействия; 8. Поддержка Internet-технологий в отрасли, обеспечение доступа к Internet-услугам; 9. Обеспечение правильности переноса исходных данных на машинные носители; 10. Проводит мониторинг развития и использования информационно-коммуникационных технологий и подготавливает по его результатам аналитические и отчетные материалы; 11. Сопровождение системного, сетевого и сопутствующего программного обеспечения.
Рисунок 1.2.4.1. Техническая архитектура ООО «Торговый Дом ЛФЗ». Технические и программные характеристики офисных ПК: Процессор: Intel Celeron Dual Core G530 (Sandy Bridge, 2.40ГГц, LGA1155, L3 2048Kb) Память: DDR3 2048 Mb (pc-10660) 1333MHz Материнская плата: S1155, iH61, 2*DDR3, PCI-E16x, SVGA, DVI, SATA, Lan, mATX, Retail Видеокарта встроенная Intel® HD Graphics 512Мб Сетевая карта есть (10/100 Ethernet). Программное обеспечение: ОС: Windows 7; Office: Microsoft Office 2010; Почтовый клиент Outlook 2010;
Технические и программные характеристики серверов: Производитель Dell; Процессор: Intel Xeon E3-1240 (Sandy Bridge, 3.3 ГГц, 8Мб, S1155); Чипсет: Intel® 3420; Оперативная память: 2 x DDR3 2048 Mb (pc-10660) 1333MHz; Жесткий диск: 2 x 700Gb (SATA II); Сетевая карта: 1 x 10/100/1000 Мбит/с; Видеокарта: Matrox G200eW, 8 Мбайт памяти; Программное обеспечение: ОС: Windows Server 2008; Сервер электронной почты: Microsoft Exchange Server СУБД: Microsoft SQL server + Mysql (WEB)
Рисунок 4. Схема функционирования системы охранно-тревожной сигнализации.
Объемные датчики или датчики движения – чувствительным элементов является ПИР элемент. Это сенсор, который улавливает тепловое излучение. Картинку он видит как бы разбитую на сектора, с помощью линзы Френеля. И если тепловое пятно движется, из сектора в сектор происходит срабатывание датчика. (Рисунок 5) Магнитоконтактные (герконы) датчики – устанавливаются на дверях и окнах и отслеживают их открытие или закрытие. Два магнита устанавливаются напротив друг друга: один на подвижной части двери или окна, а другой на неподвижной его части. Когда контакт между двумя магнитами теряется, датчик незамедлительно передает сигнал на контрольную панель. (Рисунок 6) Акустические датчики – реагируют на громкий звук, в том числе на звук разбитого стекла. В наиболее современных из них установлен микропроцессор, который анализирует звуковую диаграмму и не перепутает звук разбитого стекла с другим резким звуком. Кроме того, в память таких датчиков заложены звуки разбития разных типов стекла. Это может быть обычное стекло, стекло армированное, триплекс. Этот фактор значительно понижает возможность случайного срабатывания охранной системы.(Рисунок 7) Вибрационные датчики – предполагают защиту стен от пролома, сейфов от вскрытия и окон от разбития. Они реагируют на вибрацию. (Рисунок 8) Ультразвуковые датчики – они испускают и принимают ультразвуковые колебания. Если в поле их видимости попадает движущийся предмет, длина волны незначительно меняется, что служит сигналом для срабатывания датчика. (Рисунок 9) Популярное:
|
Последнее изменение этой страницы: 2016-08-31; Просмотров: 3338; Нарушение авторского права страницы
