- •Содержание
- •1 Цели и задачи курсового проектирования
- •2 Тематика и содержание курсовых проектов
- •3 Задания по курсовому проектированию
- •Часть 1-я. Теоретическая (проектная) Разработать проект подсистемы защиты информации от несанкционированного доступа для автоматизированной системы
- •Часть 2 . Практическая (экспериментальная). Разработать структуру ресурсов (каталогов) для заданного количества пользователей ас, приведенных в таблице 3.Восьмой символ:
- •4 Правила оформления пояснительной записки
- •5 Правила оформления графического материала
- •6 Порядок защиты
- •Список рекомендуемой литературы
- •Приложение а (справочное) методика курсового проектирования
- •Часть I . Разработка проекта подсистемы защиты информации от несанкционированного доступа
- •1 Определение перечня защищаемых ресурсов и их критичности
- •1.1 Определение необходимости формирования политики безопасности
- •1.2 Классификация защищаемой информации
- •2 Определение категорий персонала и программно-аппаратных средств, на которые распространяется политика безопасности
- •2.1 Определение правил разграничения доступа к информации
- •2.2 Определение категорий персонала, на которые распространяются требования политики безопасности
- •3 Определение особенностей расположения, функционирования и построения средств компьютерной системы. Определение угроз безопасности информации и класса защищенности ас
- •3.1 Анализ информационной архитектуры системы
- •3.1.1 Определение информационных потребностей должностных лиц подразделений
- •3.1.2 Формирование (определение) перечня информационных услуг (информационных служб, функциональных компонент), предоставляемых информационной системой пользователям
- •3.1.3 Определение особенностей программно-аппаратной организации информационной системы, способов и средств связи самостоятельных компонент системы с внешней информационной средой
- •3.1.4 Определение особенностей размещения основных систем и служб информационной системы, а также прокладки и использования кабельной системы, линий и каналов связи
- •3.1.5 Определение особенностей расположения и использования элементов систем коммуникаций и жизнеобеспечения
- •3.2 Определение класса защищенности ас
- •5.1 Выбор анализируемых компонент информационной системы, в рамках которых возможно возникновение нарушений безопасности
- •5.2. Определение точек информационного контакта анализируемых компонент с внешней информационной средой, через которые возможны нарушения безопасности информации
- •5.3. Формирование моделей источников угроз безопасности
- •5.4 Выбор механизмов и средств защиты информации от нсд
- •5.4.1 Выбор защитных механизмов, предназначенных для предотвращения выявленных угроз безопасности информации или для усиления системы защиты, а также способов их реализации
- •5.4.2 Определение функциональных компонент (информационных служб), в которых предполагается использовать выбранные механизмы защиты
- •5.4.3 Оценка остаточного риска
- •5.4.4 Определение способов интеграции механизмов безопасности в комплексную систему защиты информации
- •5.4.5 Определение способов реагирования на нарушения безопасности информации и планирование восстановления работоспособности после нарушений безопасности ресурсов информационной системы
- •6. Формулирование и оформление в виде организационно-распорядительных документов правил работы с конкретными информационными службами
- •Часть II. Формулирование политики безопасности подразделений и информационных служб
- •1 Определение особенностей функционирования подразделений
- •2 Определение перечня ресурсов подразделений, относительно которых решаются задачи обеспечения целостности и конфиденциальности, а также доступности для легитимных пользователей
- •3 Определение способов реализации правил разграничения доступа пользователей к информационным ресурсам
- •4 Определение лиц, ответственных за ведение информационных массивов, а также возможностей их модификации другими пользователями
- •5 Формирование исчерпывающего набора правил разграничения доступа пользователей к объектам
- •Приложение б
- •(Обязательное)
- •Закрепление вариантов индивидуальных заданий
- •На курсовое проектирование
- •(2011-2012 Учебный год)
- •Приложение в
- •Программно – аппаратная защита информации
1 Определение перечня защищаемых ресурсов и их критичности
1.1 Определение необходимости формирования политики безопасности
При автоматизации информационных процессов необходимо иметь четко сформулированную на основе законодательных и нормативно-руководящих документов политику информационной безопасности, которая должна реализовывать принятую в государстве концепцию обеспечения информационной безопасности и защиты информации. На базе национальной политики информационной безопасности формируется политика безопасности для конкретной критической системы управления и ее технологических участков, в том числе автоматизированных. Политика безопасности АС должна быть отражена в организационно-распорядительных документах, разрабатываемых при принятии решения на создание системы, а также на этапах ее проектирования, ввода в эксплуатацию и функционирования.
Исходными данными для формулирования политики безопасности АС являются:
законы, указы и другие государственные законодательные акты, регулирующие правовые отношения в области информационной безопасности [9];
руководящие, нормативные и методические документы, регламентирующие вопросы обеспечения безопасности информации, которые разрабатываются федеральными и ведомственными органами, входящими в систему защиты государственной тайны [7,8];
информационная архитектура конкретной ВСУ (формируется в ходе исследования организационно-штатной структуры существующей или создаваемой СУ с указанием подразделений, должностных лиц, выполняемых ими функциональных задач с классификацией их по грифам секретности и категориям (тематике) и т.д.);
архитектура автоматизированного участка защищаемой СУ (формируется в ходе исследования состава и структуры существующей или в ходе проектирования создаваемой АС );
варианты построения систем защиты информации (СЗИ) от НСД в АС;
тактико-технические характеристики средств вычислительной техники (СВТ) и защиты информации.
Система защиты информации от НСД, которая создается для обеспечения безопасности информации в автоматизированных системах, должна реализовать необходимые и достаточные требования по защите информации от НСД, изложенные в государственных нормативно-руководящих документах. Состав требований по защите информации от НСД для конкретной АС формируется с учетом организационно-штатной структуры системы управления, характеристик решаемых задач и обрабатываемых данных, условий расположения, режимов функционирования и архитектуры комплекса технических средств обработки информации, в том числе средств вычислительной техники.
Основой для построения СЗИ от НСД в АС является формальная модель политики безопасности, которая представляет собой взаимосвязанную совокупность следующих элементов:
множество защищаемых ресурсов информационной системы R={ri}, ri=(idi, rpi,), где id — идентификатор ресурса, rp — уровень безопасности;
множество пользователей информационной системы U={uj}, uj=(idj,ulj), id — идентификатор пользователя, ul — уровень доступа;
совокупность правил разграничения доступа пользователей к ресурсам информационной системы M=RU;
совокупность правил поведения пользователей системы;
множество источников угроз безопасности информации и соответствующих им угроз S={sk}, sk={t,p,d}, t — угроза безопасности, p — вероятность проявления угрозы, d — величина наносимого ущерба;
множество механизмов защиты информации M={mn,}, mn=(fn, cn), fn — реализуемая функция, cn — стоимость реализации механизма;
совокупность правил управления механизмами защиты и средствами их интеграции;
совокупность оценок результатов применения механизмов защиты информации Rt=SM;
множество мероприятий по поддержанию и восстановлению работоспособности информационной системы.
Упрощенную модель политики информационной безопасности можно сформировать в неформальном виде в результате выполнения комплекса мероприятий. Формулирование и разработка политики информационной безопасности проводится в два этапа.
На первом этапе высшими звеньями управления определяются общие требования к политике информационной безопасности. Соответствующие законодательные и исполнительные федеральные органы власти, а также высшие должностные лица заинтересованных ведомств и организаций определяют важность сведений, обрабатываемых в информационных системах, выделяют тематические разделы и информационные службы, которые нуждаются в особой защите с точки зрения обеспечения целостности, доступности и конфиденциальности информации. Решения принимаются на основе концепции национальной безопасности и доктрины информационной безопасности РФ [8, 9], национальных и ведомственных концепций защиты информации и законов, регулирующих правовые отношения в информационной сфере. Требования политики безопасности фиксируются в государственных и ведомственных системах нормативно-руководящих документов по защите информации.
В системе нормативно-руководящих документов, определяющих порядок формирования политики информационной безопасности, до настоящего времени отсутствует методология предъявления требований по безопасности и оценки защищенности информации от НСД, которая охватывала бы все направления защиты, как при использовании автоматизированных, так и традиционных технологий обработки информации. Поэтому используется первичная система нормативно-руководящих документов по защите информации от НСД в АС, разработанная ФСТЭК РФ [7], система нормативно-руководящих документов по защите информации с использованием криптографических средств защиты, разработанная ФСО, а также нормативно-руководящие документы министерств и ведомств.
На втором этапе разрабатывается политика безопасности и, соответствующая, модель разграничения доступа для конкретной АС , которые определяются начальниками учреждений , в интересах которых будет функционировать АС , с привлечением специалистов органов обеспечения безопасности информации, и согласуется с подрядчиками на разработку и производство защищенной АС.
Действие политики безопасности распространяется на объект информатизации (объект вычислительной техники), под которым здесь понимается автоматизированная информационная система или ее относительно функционально независимая часть, включающая в себя объединенные каким-либо образом компоненты, выполняющие функции по автоматизированной обработке информации в интересах подразделений и предоставляющие информационные услуги различного характера должностным лицам – пользователям.
Под пользователем понимается должностное лицо, которое самостоятельно обрабатывает информацию на средствах ВТ или в чьих интересах производится ее автоматизированная обработка.
Специальная комиссия определяет необходимость формирования политики информационной безопасности, исходя из наличия задач, которые предполагается решать в АС , и которые нуждаются в защите с точки зрения требований нормативно-руководящих документов, относящих информационные ресурсы системы к государственной, служебной или другим видам тайн и/или к определенным категориям информации ограниченного доступа. К таким ресурсам может быть отнесена информация, включенная в перечень сведений, подлежащих засекречиванию в РФ, или информация, доступ к которой ограничен требованиями законов, наставлений, руководств и других руководящих документов (например, сведения по шифрам, кадрам и т.п.).
При наличии информации ограниченного доступа принимается решение на создание системы защиты информации от НСД и определяются подразделения, информация которых наиболее критична. Для информации ограниченного доступа определяются грифы секретности и категории (тематики), соответствующие их важности с точки зрения защиты. В то же время определяются наиболее важные направления обеспечения безопасности информации в разных подразделениях, т.е. выделяются информационные компоненты, которые являются более зависимыми от нарушения их целостности и/или доступности и/или конфиденциальности.