• 1. Описание объекта автоматизации
• 1.1 Краткая характеристика ОА
• 1.2 Организационная и функциональная структура ОА:
• 2. Инвентаризация объектов, потенциально требующих защиты
• 2.1 Физическое размещение объекта:
• 2.2 Нормативное обеспечение процесса
• 2.3 Инвентаризация по данным:
• 2.4 Аппаратное обеспечение процесса:
• 2.5 Программное обеспечение процесса:
• 3. Классификация объектов информационной системы
• 4. Анализ возможных каналов утечки
• 5. Анализ существующих методов и средств защиты информации
• 6. Анализ защищенности данных в ИС
• 7. Выводы о состоянии защиты информации, рекомендации по ее улучшению
• 1. Описание объекта автоматизации

1.1 Краткая характеристика ОА

В данной расчетно-графической работе проводится оценка информационной безопасности в институте гидродинамики им. М. А. Лаврентьева (ИГиЛ). Задача решается на рабочем месте экономиста. Главная полезная функция — анализ бухгалтерской отчетности предприятий-клиентов и расчет финансовых коэффициентов, характеризующих финансовое состояние данного предприятия.

Целью данного анализа является оценка деятельности предприятия, как за прошлые периоды времени, так и на текущий момент времени. На основе данных, полученных в ходе проведения финансово-экономического анализа предприятия, можно судить о будущем потенциале предприятия. Анализ производится на основе бухгалтерских балансов и «Отчетов о прибылях и убытках», предоставляемые бухгалтерами предприятия.

Процесс проведения анализа финансового состояния предприятия можно представить в виде следующих этапов:

1. анализ абсолютных показателей;

2. горизонтальный анализ, т. е. рассмотрение показателей в динамике, как правило, на начало и конец отчетного периода;

3. вертикальный, т. е. структурный анализ (определение удельных весов основных групп актива или пассива);

4. трендовый анализ — сравнение каждой позиции отчетности с рядом предшествующих периодов и определение основной тенденции динамики показателя (позиции), формирование возможных значений показателей в будущем (перспективный анализ);

5. анализ финансовых коэффициентов, т. е. расчет относительных показателей по данным отчетности (например, коэффициенты рентабельности активов, ликвидности, платежеспособности и т. д.), которые в целом характеризуют финансовое состояние предприятия.

По результатам проведенного анализа финансово-экономического состояния предприятия оформляются рекомендации по дальнейшей деятельности предприятия.

1.2 Организационная и функциональная структура ОА

Рассмотрим организационную структуру Института.

Структура органов института является трехуровневой, она представлена ниже.

2. Инвентаризация объектов, потенциально требующих защиты

2.1 Физическое размещение объекта

Здание (место расположение): г. Новосибирск, Академика Лаврентьева проспект, 15

Телефон: 333−12−16

Механизмы контроля:

· все здание охраняется ЧОП (Частное Охранное Предприятие), вахтер сидит на первом этаже на вахте;

· сигнализация — присутствует;

· решетка на окнах;

· система постоянного видео наблюдения (мониторы расположены на вахте у охранника, видеться видео наблюдение всех этажей здания)

Конструктивные особенности офиса: офис располагается на 1 м этаже 4х этажного здания; 1 дверь, 2 окна.

2.2 Нормативное обеспечение процесса

Список имеющихся документов — устав, должностные инструкции, положение о трудовых отношениях (трудовом распорядке) внутри организации, положение о взысканиях и поощрениях.

Документация по безопасности — положение об информационной безопасности

План эвакуации при пожаре.

2.3 Инвентаризация по данным

Перечень информационных элементов (данных), подлежащих защите в «ИГиЛ»:

1. Данные первичных документов на бумажных носителях.

2. Данные в оперативной памяти компьютера.

3. Программы в оперативной памяти компьютера.

4. Данные и программы на внешних магнитных носителях.

5. Данные, отражаемые на экране монитора компьютера.

6. Данные, выводимые на печать при локальном и сетевом использовании принтеров.

7. Пакеты данных (информационные, служебные), передаваемые по каналам связи.

8. Данные, находящиеся на тиражировании с помощью копировально-множительной технике (и получаемые копии).

9. Журналы назначения идентификаторов, паролей зарегистрированных пользователей.

10. Служебные инструкции по работе с конфиденциальными данными.

11. Данные резервных копий данных и программ на внешних магнитных носителях.

12. Данные архивных копий данных на внешних магнитных носителях.

13. Данные первичных документов, хранящихся в картотеках и на стеллажах.

Таблица 1

Инвентаризация по данным

2.4 Аппаратное обеспечение процесса

Таблица 2

Инвентаризация по аппаратному обеспечению

2.5 Программное обеспечение процесса

Таблица 3

Инвентаризация по программному обеспечению

Схематичный план офиса представлен на рис. 4:

Рис. 4 Схематичный план офиса планово-экономического отдела «ИГиЛ»

3. Классификация объектов информационной системы

Объект — информация обрабатываемая, создаваемая, хранимая, отправляемая, получаемая. автоматизация защита информация

Классификация объектов по аспектам:

— доступность (обеспечение процесса, организация наличия в нужный момент);

— целостность (защита от несанкционированной модификации);

— конфиденциальность (пресечение разглашения).

Доступность:

Д0 — критическая (полное отсутствие);

Д1 — очень важная (работа системы возможна в небольшой промежуток времени);

Д2 — важная (работа системы возможна на протяжении определенного промежутка времени, но наступит момент, когда работа системы будет остановлена);

Д3 — полезная (работа системы возможна без нее, использование повышает эффективность работы);

Д4 — несущественная;

Д5 — вредная (наличие приводит к снижению эффективности обработки).

Целостность:

Ц0 — критическая (необратимое разрушение информационного пространства);

Ц1 — необратимое изменение информационного пространства, если в течение небольшого промежутка времени дефект не устранен;

Ц2 — важная (последствия обратимы, но если через определенный промежуток времени восстановления не произойдет — процесс будет остановлен);

Ц3 — значимая (не приводит к остановке процесса, изменения заметны);

Ц4 — незначимая.

Конфиденциальность:

К0 — критическая (крах системы);

К1 — очень важная (значительные материальные потери при отсутствии оперативного реагирования на разглашение);

К2 — важная (некоторые материальные потери);

К3 — значимая (решение задачи не прекращается);

К4 — незначимая.

Таблица 4

Классификация объектов ИС

4. Анализ возможных каналов утечки

Рассмотрим основные потенциально возможные каналы утечки информации на рабочем месте экономиста.

Существуют следующие каналы утечки информации:

1. Уровень файлов:

§ несанкционированный просмотр (К1);

§ несанкционированный просмотр с частичным или полным копированием данных (К2);

§ физическое уничтожение (К3);

§ кража с носителем (К4).

2. Уровень процессора.

§ сбои программного обеспечения (К5);

§ сбои аппаратного обеспечения (К6);

§ воздействие сильных магнитных полей на магнитные носители информации или дефекты оборудования, приводящее к разрушению хранимой информации (К7);

§ отключение или вывод из строя подсистем обеспечения безопасности ИС (К8);

§ сбои и ошибки в работе аппаратуры, вызванные скачками напряжения в сети питания, неисправностями энергоснабжения, временными или постоянными ошибками в ее схемах (К9).

3. Уровень каналов передачи информации:

§ незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений (перемыкание) (К10);

§ перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации (К11);

§ внедрение аппаратных и программных «закладок» и «вирусов», позволяющих преодолевать систему защиты, скрытно и незаконно осуществлять доступ к системным ресурсам ИС (К12);

§ неумышленное повреждение каналов связи (К13).

4. Уровень коммутационного пункта:

§ неправильная коммутация абонентов (перемыкание) (К14);

§ ответвление линий связи — организация дополнительных точек подключения (К15).

5. Уровень терминала (рабочее место):

§ небрежное хранение и учет носителей, а также их нечеткая идентификация — нарушение регламентных требований по организации ввода, хранения и использования данных (К16)

§ ошибки ввода данных (К17);

§ неумышленная порча носителей информации (К18);

Таблица 5

Матрица М0. Каналы утечки информации.

0 — канал утечки не влияет на информационный элемент;

1 — влияет (вероятность значительная, интенсивность утечки не нулевая).

Проанализировав Матрицу МО (табл. 5) можно сделать вывод о том, что такие информационные элементы как: «Пакет документов для финансово-экономического анализа (эл)» — 15, «Финансовое заключение по анализируемому предприятию (эл)» — 15 и Информация о предприятии-клиенте (эл) — 13 в большей степени, по сравнению с другими информационными элементами, подвержены атаке.

Наиболее активными каналами утечки являются: К1, К2, К3, К4 и К18.

5. Анализ существующих методов и средств защиты информации

Для рассматриваемого рабочего места можно выделить следующие средства защиты:

§ С1 — видеонаблюдение;

§ С2 — пропускная система;

§ С3 — охрана внутренних помещений;

§ С4 — сигнализация (вне рабочего времени);

§ С5 — визуальное наблюдение;

§ С6 — решетки на окнах офиса;

§ С7 — контроль доступа и полномочий;

§ С8 — антивирусная защита;

§ С9 — ИБП;

§ С10 — резервное копирование.

§ С11 — инструкция по работе с конфиденциальной информацией

§ С12 — правила работы в системе СААФСО

Каналы утечки К14 и К15 в рассмотрение не берутся, т.к. они не были использованы в Матрице М0.

Таблица 6

Матрица М1 Анализ перекрытия КУ

0 — средства защиты не перекрывают;

1 — средства защиты перекрывают Из Матрицы М1 (табл. 6) видно, что из совсем не защищенными КУ являются К7 (воздействие сильных магнитных полей на магнитные носители информации или дефекты оборудования, приводящее к разрушению хранимой информации). Наиболее защищенными КУ является К3 (физическое уничтожение) и КУ4 (кража с носителем).

6. Анализ защищенности данных в ИС

На основании результатов обследования, содержащихся в материалах инвентаризации (табл. 1 — 3), результатов классификации (табл. 4) следует обработать данные матриц М0 и М1 (табл. 5 и 6) построим матрицу М2 (табл. 7), которая будет являться итоговой матрицей, отражающей степень защищенности каждого информационного элемента.

Выявим незащищенные (слабо защищенные) элементы, неприменяемые (лишние) средства (методы) защиты. Для оценки степени защиты информационных элементов средствами защиты используем 16-балльную шкалу оценки (т.к. каналов утечки 16).

0 — средство защиты не защищает ни от одного канала утечки;

16 — средство полностью защищает информационный элемент от всех каналов утечки.

Таблица 7

Матрица М2

Из Матрицы М2 (табл. 7) можно сделать вывод о том, что наиболее защищенными информационными элементами являются: Информация о предприятии-клиенте (эл.), Пакет документов для финансово-экономического анализа (эл.), Нормативные коэффициенты (эл.) и Финансовое заключение по анализируемому предприятию (эл.). Менее защищенными информационными элементами являются: Пакет документов для финансово-экономического анализа (буж), Внутрифирменные документы предприятия, определяющие работу экономиста-аналитика (бум), Инструкции по работе с конфиденциальными данными (бум) и Финансовое заключение по анализируемому предприятию (бум).

7. Выводы о состоянии защиты информации, рекомендации по ее улучшению

В ходе проведения анализа на информационную безопасность РМ экономиста «ИГиЛ» было выявлено, что:

· На данном рабочем месте существует 16 каналов утечек;

· Информационные элементы, которые более других подвержены атаке являются:

Ш Пакет документов для финансово-экономического анализа (эл);

Ш Финансовое заключение по анализируемому предприятию (эл);

Ш Информация о предприятии-клиенте (эл).

· Совсем не защищенными КУ являются:

Ш К7 (воздействие сильных магнитных полей на магнитные носители информации или дефекты оборудования, приводящее к разрушению хранимой информации);

Ш К10 (незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений (перемыкание)).

· Менее защищенными информационными элементами являются:

Ш Пакет документов для финансово-экономического анализа (буж);

Ш Внутрифирменные документы предприятия, определяющие работу экономиста-аналитика (бум);

Ш Инструкции по работе с конфиденциальными данными (бум);

Ш Финансовое заключение по анализируемому предприятию (бум).

Стоит отметить, что те информационные объекты, которые более других подвержены атаке, не попали в список менее защищенных информационных элементов. Этот факт говорит о хорошей информационной безопасности данного рабочего места.

С целью устранения риска нанесения ущерба от раскрытия и уничтожения данных все же необходимо использовать дополнительные средства защиты: средства защиты каналов связи (например, чтобы избежать прослушивания телефонов), зашумляющие генераторы излучений и пр.