Часть 2. Формулирование политики безопасности подразделений и информационных служб

1 Матрица доступа

На основе разработанной политики безопасности составим дискреционную модель разграничения доступа, которая будет являться базой формирования правил разграничения доступа и выбора конкретных средств защиты информации.

Таблица 5 – Матрица доступа

№ п.п.	Должностные лица, допущенные к защищаемым ресурсам ОВТ	АРМ должностного лица	Защищаемый ресурс
			Наименование ресурса	Разрешенные виды доступа
1.	2	3	4	5
	Начальник отдела	Org_1	Папка «Документы нач. отдела» Папка «Документы зам. нач. отдела» Папка «Документы специалиста 1й категории» Папка «Документы специалиста 2й категории» Папки подчиненных	RWDX RWX RWDX RWDX RWX
	Зам. начальника отдела	Org_2	Папка «Документы замнач. отдела» Папка «Документы специалиста 1й категории» Папка «Документы специалиста 2й категории» Папки подчиненных	RWDX RWX RWX RWX
	Специалист 1й категории отдела	Org_3	Папка «Документы специалиста 1й категории» Папка «Документы П1»	RWX RWDX
	Специалист 2й категории отдела	Org_4	Папка «Документы специалиста 2й категории» Папка «Документы П2»	RWX RWDX

2 Результаты исследования защищенности информационных ресурсов

На данном этапе необходимо произвести следующие действия:

– с помощью анализатора уязвимостей «Ревизор 2 XP» сравнить данные, полученные сканированием структуры объектов доступа с данными, указанными в описании модели разграничения доступа пользователей;

– запланировать тестирование, выбрав необходимые параметры тестирования;

– проверить установленные в системе разграничения доступа полномочий пользователей по доступу к объектам на соответствие установленным правам доступа;

– проверить реальное предоставление пользователям системой защиты информации полномочий по доступу к объектам в соответствии с установленной моделью разграничения доступа.

Рисунок 1 – Модель таблицы разграничения доступа в программе «Ревизор 2 XP»

Планирование проверки реальных полномочий пользователей по отношению к объектам доступа осуществлять только для созданных каталогов. Для этого из плана исключаются все объекты, кроме созданных, по отношению к которым будут выполнены попытки доступа пользователей.

По результатам проверок формируются соответствующие протоколы аттестационных испытаний в виде текстовых файлов, которые приводятся в пояснительной записке.