Анализ системы защиты УФССП России по Оренбургской области

Содержание Введение

1. Анализ теоретических основ построения комплексной защиты информации

1.1 Анализ нормативно — правовой базы в области комплексной защиты информации

1.2 Постороение комплексной защиты информации

2. Анализ системы защиты УФССП России по Оренбургской области

2.1 Орг. структура и информационные ресурсы

2.2 Анализ программно — тех обеспечения

2.3 Модель угроз нарушителя

2.4 Анализ выполнения мероприятий по комплексной защите Заключение Список используемой литературы защита информация угроза нарушитель Введение Прохождение производственной практики имеет большое значение в процессе подготовки будущих специалистов. Необходимость ее для студента заключается в том, что это отличная возможность объединить знания, полученные в процессе обучения, с практическими навыками, полученными на предприятии и хорошая возможность получить первоначальный опыт, так необходимый начинающему специалисту при трудоустройстве.

Из этого можем сделать вывод, что главная цель практики заключается в закреплении и углублении практических знаний, полученных при изучении специальных дисциплин, приобретении практических навыков и умений.

Объектом прохождения производственной практики является Управление федеральной службы судебных приставов по Оренбургской области Сорочинский районный отдел судебный приставов, далее РОСП.

Основными задачами территориального органа ФССП России являются:

обеспечение установленного порядка деятельности судов общей юрисдикции и арбитражных судов, находящихся на территории соответствующего субъекта Российской Федерации;

организация принудительного исполнения судебных актов судов общей юрисдикции и арбитражных судов (далее — судебные акты), а также актов других органов, предусмотренных законодательством Российской Федерации об исполнительном производстве (далее — акты других органов);

управление районными, межрайонными и специализированными отделами (далее — структурные подразделения территориального органа ФССП России);

Территориальный орган ФССП России в своей деятельности руководствуется Конституцией Российской Федерации, федеральными конституционными законами, федеральными законами, актами Президента Российской Федерации и Правительства Российской Федерации, международными договорами Российской Федерации, нормативными правовыми актами Министерства юстиции Российской Федерации, правовыми актами ФССП России и настоящим Положением;

Территориальный орган ФССП России осуществляет свою деятельность во взаимодействии с полномочным представителем Президента Российской Федерации в соответствующем федеральном округе Российской Федерации, территориальными органами федеральных органов исполнительной власти, органами исполнительной власти субъектов Российской Федерации, органами местного самоуправления, общественными объединениями и иными организациями.

Целью прохождения практики является исследование процессов защиты информации в УФССП России.

В соответствии с целью были выявлены основные задачи:

Рассмотрение нормативно-методической базы в области построения КСЗИ;

исследование организационной структуры предприятия, выявление видов конфиденциальной информации и ресурсов, подлежащие защите;

анализ системы обработки данных, классификация активов, подлежащих защите;

обоснование актуальных угроз и определение нарушителей информационных процессов в информационной системе организации;

Модель угроз нарушений;

исследование способов защиты информационных ресурсов;

формулировка выводов о состоянии КСЗИ в организации.

Период прохождения практики: с 23 июня по 6 июля 2014 года.

1. Анализ теоретических основ построения комплексной защиты информации Комплексная система защиты информации (КСЗИ) является совокупностью методов и средств, объединенных единым целевым назначением и обеспечивающих необходимую эффективность защиты информации в АСОД.

Комплексность системы защиты информации достигается охватом всех возможных угроз и согласованием между собой разнородных методов и средств, обеспечивающих защиту всех элементов АСОД.

Основными требованиями к комплексной системе защиты информации являются:

система защиты информации должна обеспечивать выполнение АС своих основных функций без существенного ухудшения характеристик последней;

она должна быть экономически целесообразной, так как стоимость системы защиты информации включается в стоимость АС;

защита информации в АС должна обеспечиваться на всех этапах жизненного цикла, при всех технологических режимах обработки информации, в том числе при проведении ремонтных и регламентных работ;

в систему защиты информации должны быть заложены возможности ее совершенствования и развития в соответствии с условиями эксплуатации и конфигурации АС;

она в соответствии с установленными правилами должна обеспечивать разграничение доступа к конфиденциальной информации с отвлечением нарушителя на ложную информацию, т. е. обладать свойствами активной и пассивной защиты;

при взаимодействии защищаемой АС с незащищенными АС система защиты должна обеспечивать соблюдение установленных правил разграничения доступа;

система защиты должна позволять проводить учет и расследование случаев нарушения безопасности информации в АС.

1.1 Анализ нормативно-правовой базы в области комплексной защиты информации Нормативную базу в области комплексной защиты информации представляют: законы, Указы Президента, Постановления Правительства РФ, нормативные документы в области защиты информации, а так же вопросы сертификации и лицензирования. ГОСТ 28 147–89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования» ;

ГОСТ Р 34.10−94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма» ;

ГОСТ Р 34.11−94 «Информационная технология. Криптографическая защита информации. Функция хэширования» ;

ГОСТ Р 50 739−95 «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования» .

Гражданский кодекс Российской Федерации. Часть I, гл. 9, ст. 160. «Письменная форма сделки» .

Законы Российской Федерации в области защиты информации (защиты государственной тайны) Закон РФ от 23 сентября 1992 г. N 3523−1 «О правовой охране программ для электронных вычислительных машин и баз данных» ;

Закон РФ от 19 февраля 1993 г. N 4524−1 «О федеральных органах правительственной связи и информации (с изменениями от 24 декабря 1993 года, по состоянию на 1 апреля 1994 года)» ;

Закон РФ от 10 июня 1993 года N 5151−1 «О сертификации продуктов и услуг» ;

Закон РФ от 10 июня 1993 года N 5154−1 «О стандартизации» ;

Закон РФ от 01 июля 1993 г. N 5306−1 «О внесении изменений и дополнений в Закон Российской Федерации «О федеральных органах государственной безопасности» ;

Закон РФ от 21 июля 1993 года N 5485−1 «О Государственной тайне» ;

Закон РФ от 20 января 1995 года N 15-Ф3 «О связи» ;

Закон РФ от 20 февраля 1995 г. N 24-ФЗ «Об информации, информатизации и защите информации» (с комментариями) Закон РФ от 03 апреля 1995 г. N 40-Ф3 «Об органах Федеральной службы безопасности в Российской Федерации» ;

Закон РФ от 4 июля 1996 года N 85-ФЗ «Об участии в международном информационном обмене»

Указы Президента РФ в области защиты информации (защиты государственной тайны) Указ Президента РФ от 7 октября 1993 г. N 1607″ О государственной политике в области охраны авторского права и смежных прав" ;

Указ Президента РФ от 31 декабря 1993 г. N 2334″ О дополнительных гарантиях прав граждан на информацию" ;

Указ Президента РФ от 20 января 1994 г. N 170″ Об основах государственной политики в сфере информатизации" ;

Указ Президента РФ от 3 апреля 1995 г. N 334″ О мерах по соблюдению законности в области разработки производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации" ;

Указ Президента РФ от 3 июля 1995 г. N 662 «О мерах по формированию общероссийской телекоммуникационной системы и обеспечению прав собственников при хранении ценных бумаг и расчетах на фондовом рынке Российской Федерации» ;

Указ Президента РФ от 30 ноября 1995 г. N 1203″ Об утверждении перечня сведений, отнесенных к государственной тайне" ;

Указ Президента РФ от 26 августа 1996 г. N 1268″ О контроле за экспортом из Российской Федерации товаров и технологий двойного назначения" .

Список товаров и технологий двойного назначения, экспорт которых контролируется;

Список товаров и технологий двойного назначения, экспорт которых контролируется (Продолжение);

Указ Президента РФ от 6 марта 1997 г. N 188″ Об утверждении перечня сведений конфиденциального характера" ;

Указ Президента РФ от 30 мая 1997 года N 226-рп «О перечне должностных лиц органов государственной власти, наделяемых полномочиями по отнесению сведений к государственной тайне» .

Постановления Правительства РФ в области защиты информации (защиты государственной тайны) Постановление Правительства РФ от 24 декабря 1994 г. N 1418 «О лицензировании отдельных видов деятельности» (с изменениями от 5 мая, 3 июня, 7 августа, 12 октября 1995 г.);

Постановление Правительства РФ от 15 апреля 1995 года N 333 «О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны» ;

Постановление Правительства РФ от 26 июня 1995 г. N 608 «О сертификации средств защиты информации» ;

Постановление Правительства РФ от 04 сентября 1995 г. N 870 «Об утверждении правил отнесения сведений, составляющих государственную тайну, к различным степеням секретности» .

Нормативные документы в области защиты информации от несанкционированного доступа Защита от несанкционированного доступа к информации. Термины и определения. ГОСТЕХКОМИССИЯ РОССИИ Постановление правительства РФ от 30 апреля 1997 г. N 513 «О внесении дополнения в Положение о лицензировании»

Нормативные документы в области защиты информации от несанкционированного доступа Вопросы сертификации и лицензирования

" О лицензировании и сертификации в области защиты информации", О. А. Беззубцев и А.Н. Ковалев

" Проблемы проведения технической экспертизы средств защиты информации и регулирования их ввоза-вывоза", О. А. Беззубцев и А.Н. Ковалев

" О порядке лицензирования деятельности" (письмо Президента АРБ С. Е. Егорова и ответ на него Статс-секретаря, первого заместителя ген. директора ФАПСИ В.И. Маркоменко) Система сертификации средств криптографической защиты информации.

Информационные материалы о лицензировании Федеральным агентством правительственной связи и информации при Президенте Российской Федерации отдельных видов деятельности, связанных с сертифицированными ФАПСИ шифровальными средствами, при защите информации по уровню «С» .

Определение шифровальных средств.

Образец заявления о выдаче лицензии на осуществление деятельности, связанной с конкретными сертифицированными шифровальными средствами в данной сети (системе).

Требования к заявителю на право установки (инсталляции), эксплуатации сертифицированных ФАПСИ шифровальных средств и предоставления услуг по шифрованию информации при защите информации по уровню «С» .

Требования к заявителю на право реализации шифровальных средств.

Требования к соискателю лицензии Федерального агентства на право распространения, технического обслуживания и предоставления услуг в области шифрования информации с применением несертифицированных ФАПСИ шифровальных средств иностранного производства.

Представляемый заявителем перечень сведений, обосновывающих наличие на предприятии условий для установки (инсталляции), эксплуатации сертифицированных ФАПСИ шифровальных средств и предоставления услуг по шифрованию информации при защите информации по уровню «С» .

Положение о государственном лицензировании деятельности в области защиты информации

1.2 Построение комплексной защиты информации Применение дополнительных средств защиты информации затрагивает интересы многих структурных подразделений организации. Не столько даже тех, в которых работают конечные пользователи автоматизированной системы, сколько подразделений, отвечающих за разработку, внедрение и сопровождение прикладных задач, за обслуживание и эксплуатацию средств вычислительной техники. Поэтому разрабатываемая технология обеспечения информационной безопасности должна обеспечивать:

дифференцированный подход к защите различных АРМ и подсистем (уровень защищенности должен определяться с позиций разумной достаточности с учетом важности обрабатываемой информации и решаемых задач);

унификацию вариантов применения средств защиты информации на АРМ с одинаковыми требованиями к защите;

реализацию разрешительной системы доступа к ресурсам АС;

минимизацию, формализацию (в идеале автоматизацию), реальную выполнимость рутинных операций и согласованность действий различных подразделений по реализации требований разработанных положений и инструкций, не создавая больших неудобств при решении сотрудниками своих основных задач;

учет динамики развития автоматизированной системы, регламентацию не только стационарного процесса эксплуатации защищенных подсистем, но и процессов их модернизации, связанных с многочисленными изменениями аппаратно-программной конфигурации АРМ;

минимизацию необходимого числа специалистов отдела защиты информации.

Надо совершенно четко понимать, что соблюдение необходимых требований по защите информации, препятствующих осуществлению несанкционированных изменений в системе, неизбежно приводит к усложнению процедуры правомочной модификации АС. В этом состоит одно из наиболее остро проявляющихся противоречий между обеспечением безопасности и развитием и совершенствованием автоматизированной системы. Технология обеспечения информационной безопасности должна предусматривать особые случаи экстренного внесения изменений в программно-аппаратные средства защищаемой АС.

2. Анализ системы защиты УФСС Росии по Оренбургской области Сорочиский РОСП Анализ системы защиты УФССП России по Оренбургской области. Локально-вычислительная сеть Управления предназначена для обеспечения информационного потока внутри Управления. В сеть входят автоматизированные рабочие места (АРМ) работников управления в количестве 192 шт. (оборудованных ПК). Соединение конечных станций (АРМ пользователей) к локальной компьютерной сети Управления осуществляется за счет коммутаторов фиксированной конфигурации серии Cisco Catalist 2950 в количестве 10 шт. В состав сети входит группа серверов-приложений в количестве 11шт. Сервер, на котором развернуты основные службы (DHCP, DNS, Active Directory) и сервера на которых развернуты программные комплексы, информационные ресурсы. Также имеется сервер-печати и файл-сервер.

Федеральная сеть телекоммуникаций (ФСТК) предназначена для обмена информацией с ФССП России. Сеть состоит из 2-х серверов, на которых развернут программный комплекс, трех АРМ. ADSL модем предназначен для связи со сторонними организациями. Связь с сервером ФССП России происходит при помощи программно-аппаратного комплекса c функциями криптографии, за счет выделения IP-адреса.

Региональная сеть телекоммуникаций (РСТК). Обеспечивает обмен информацией с территориальными отделами УФССП России. В состав сети включен маршрутизатор сети Cisco 7505 и коммутатор. Создано защищенное внешние соединение удаленных локальных сетей отделов, а также обеспечивается безопасный доступ к серверу FW29 через сеть Internet, используя кодированное тунеллирование. Каналы связи арендуются у филиала ОАО «Арт-Телеком» .

Защищенная сеть УФССП России состоит из коммутатора фиксированной конфигурации серии Cisco Catalist 2950 маршрутизатора серии Cisco 1700 (являющимся основным и единственным шлюзом в Internet). На интерфейсных модулях коммутатора находятся мультимедийная Cisco 2600. Развернуто оборудование видеоконференцсвязи посредствам спутниковой связи.

Выделенная сеть Internet. Организуется на основе программно-аппаратного комплекса Kerio Winroute FW. Kerio имеет выделенный IP адрес в глобальной сети Internet.

Три аппаратно-программных комплекса DIONIS TS/FW со встроенным межсетевым экраном (серийные номера 9 594 970, 9 492 594, 9 492 597) производства НПП «АТЛАС ФСБ России». Один из них используется в качестве почтового сервера, другой — межсетевого экрана. Изделия прошли сертификационные испытания на соответствие требованиям по безопасности в системе сертификации средств защиты информации по требованиям безопасности информации №№ 288, 289, 359, 359/1 государственной технической комиссии при Президенте Российской Федерации для запуска под ОС MSDOS 6.22 на платформе Intel и под MS Windows 98 Intel.

При организации VPN-туннеля с ФССП России активирована подсистема криптографии. Вся маршрутизация происходит на телекоммуникационных серверах. Контроль адреса источника осуществляется фильтрацией интерфейсов средствами подсистемы компиляции TCP и ведением внутренних журналов.

Принудительная маршрутизация используется на почтовом сервере R29 с явным указанием IP-адресов DNS серверов РТКомм.ru, электронная почта по туннелю не передается. На интерфейсах межсетевого экрана kr29 развернута динамическая NAT.

Со всеми территориальными отделами обмен информацией происходит по криптотуннелю. Маршрутизация обеспечена средствами телекоммуникационных серверов.

В Сорочинском РОСП почти не предусмотрены меры по защите информации. В общем можно выявить лишь наличие датчиков пожарной безопасности, обычные двери. В программной плане на компьютерах предприятия установлены операционные системы от корпорации Microsoft, такие как Windows 7 и Windows XP (поддержку которой корпорация прекратила). Установлено разграничение пользователей и установлены пароли.

Автоматизированная информационная система (АИС)-это программа и своего рода база данных жителей Сорочинского района. В данной АИС имеются персональные данные должников. Доступ к АИС так же разграничен, каждый судебный пристав заходит под своим логином и паролем. Бумажные носители (договора, исполнительные производства, заявления и прочие) находятся в простых картонных коробках.

2.1 Организационная структура УФСС РФ по Оренбургской области Кратка история службы Институт судебных приставов в России имеет большую историю. Великий государь Петр 1 в 1717 году своим Указом образовал Юстиц-коллегию. В нее вошел Урядный приказ, который осуществлял исполнительно-распорядительные функции на основании судебных решений и властных актов высших органов и должностных лиц Российского государства.

Становление и развитие института судебных приставов в России берет свое начало с упоминания о нем в Указе Александра 2 от 20 ноября 1864 года.

Деятельность службы судебных приставов с каждым днем становиться все более влиятельной в укреплении российской государственности, реальным механизмом обеспечения правосудия, защиты прав и законных интересов личности и государства.

В Оренбургской области приказ об образовании службы и создании 44 подразделений судебных приставов подписан 15 января 1998 года. В корпус судебных приставов в основном вошли наиболее профессионально подготовленные специалисты — бывшие судебные исполнители, успешно прошедшие аттестацию на предмет знания федеральных законов.

В январе 2005 года прошло реформирование подразделения и теперь это самостоятельная служба. В нее входят отделы по организации исполнительного производства и организации обеспечения установленного порядка деятельности судов, группа по дознанию и розыску должников и их имущества и другие.

Рисунок 2.1 Аппарат Управления Во главе стоит руководитель отдела судебных приставов по все Оренбургской области. В его подчинении находятся различные отделы организации.

Рисунок 2.2 Организационная структура управления Как видно по рисунку во главе стоит главный судебный пристав под его контролем его заместители. И они же осуществляют контроль над отделами.

Информационные потоки Рисунок 2.3 Информационные потоки В связи с тем, что количество людей и организаций обращающихся в отдел судебных приставов велико, в виду специфики их работы, существует множество государственных организаций с которыми управление имеет документооборот. К ним относятся ФМС, ГИБДД, кредитные организации, система город, гостехнадзор и так далее. Различные организации предоставляют адреса не плательщиков и других нарушителей административного кодекса РФ. В связи с этим существует база данных населения, умышленное, неправомерное использование ее данных приведет к весьма крупным убыткам.

Таблица 2.1 Таблица хранящихся документов

2.2 Анализ программно-технического обеспечения В УФССП России по Оренбургской области Сорочиский РОСП имеются 13 компьютеров и 4 ноутбука, 1 факс, 7 принтеров и 1 МФУ. На каждом из них предустановлена лицензированная операционная система от корпорации Microsoft Windows XP или Windows 7. Хочу отметить, что поддержка Windows XP 08.04.2014 прекращена, а так же скоро прекратится поддержка Windows 7 пакетов sp1, рекомендуется установить более поздние версии операционных систем, такие как Windows 8 или Windows 8.1. На каждом компьютере стоит разграничение доступа и установлен пароль. Все компьютеры оснащены антивирусом от лаборатории Касперского с последним обновлением баз данных.

Локальная сеть объединяет в себя 7 компьютеров. Установлен маршрутизатор D-link. На данных компьютерах имеется интернет. Компьютеры подключенные к локальной сети имеют автоматизированную информационную систему (АИС). Так же имеется разграничение доступа для входа. Каждому судебному приставу дают уникальный логин и пароль для входа в систему.

2.3 Модель угроз нарушителей В данную таблицу входят два вида нарушителей: внешние и внутренние. Им присуждается определенный идентификатор. Исследую всех посителелей управления можно отнести каждому класс доверенности.

Таблица 2.2 Модель угроз нарушителей

2.4 Анализ выполнения мероприятий по комплексной защите В УФССП России по Оренбургской области Сорочинский РОСП выполняться не все меры по комплексной защите данных.

Во-первых. Физическая защита представлена в лишь установленных датчиках пожарной сигнализации и в железных дверях.

Во-вторых. Программно-аппаратные средства защиты на должном уровне. Разграничение доступа достаточно для обеспечения безопасности информации на электронных носителей.

В-третьих. Законодательными актами строго выделены права и обязанности сотрудников, а так же ответственность за их нарушение.

Заключение

На мой взгляд, производственная практика в УФССП России по Оренбургской области Сорочинский РОСП послужила хорошей базой для получения практических знаний и навыков в области защиты информации Проходя практику в УФССП России Оренбургской области, мне удалось детально изучить структуру службы, ознакомиться с должностными инструкциями работников службы и на практике рассмотреть систему его функционирования.

В ходе прохождения практики были выполнены следующие задачи:

Анализ теоретических основ построения комплексной защиты инфомрации Анализ системы защиты УФССП России по оренбургской области Сорочинский РОСП Анализ програмно-техничекого обеспечения Построили модель угроз нарушителя Список используемой литературы

1. http://r56.fssprus.ru/

2.Федеральный закон от 02 мая 2006 г. № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации» // Собрание законодательства Российской Федерации. — № 19. — Ст. 2060;

3.Типовое положение о ведении делопроизводства по предложениям, заявлениям и жалобам граждан в государственных органах, на предприятиях, учреждениях и организациях;

4.ГОСТ Р 51 141−98 Делопроизводство и архивное дело. Термины и определения. М.: Госстандарт России, 1998;

5.Распоряжение Председателя Совета Федерации Федерального Собрания Российской Федерации от 30 января 2006 года № 27 рп-СФ «О работе с обращениями граждан, поступающими через официальный сайт Совета Федерации Федерального Собрания Российской Федерации в сети Интернет» ;

6.Инструкция по работе с обращениями граждан в Совете Федерации Федерального Собрания РФ / Распоряжение Председателя Совета Федерации СФ РФ от 1 ноября 2006 года № 461рп-СФ;

7. Регламент Совета Федерации ФС РФ / Принят постановлением Совета Федерации ФС РФ от 30 января 2002 года № 33-СФ;

8.Положение об Аппарате Совета Федерации ФС РФ/ Решение Совета палаты от 22 ноября 2007 года.

9.Делопроизводство (Документационное обеспечение управления): учебник для вузов. М.:ЮНИТИ-ДАНА, 2000. 359 с;

10.Кузнецова Т. В. Делопроизводство (Документационное обеспечение управления): Учебно-справочное пособие. М.: ЗАО «Бизнес-школа «Интел-Синтез», 2002;