Пример: Bundesamt für Organisation und Verwaltung (Федеральная служба организации и администрирования, Federal Agency for Organisation and Administration, bov) - Часть 1

Придерживаемся примерного скорректированного плана сети для вымышленного госучреждения – BOV. Следует заметить, что структура ИТ BOV далеко не оптимальна с точки зрения безопасности ИТ. Пример просто используется, чтобы показать применение IT-Grundschutz. Только обзор, предоставленный здесь, ‑ сложный пример, найденный во вспомогательных материалах для IT-Grundschutz.

Допустим, что BOV – это официальный орган с персоналом 150 человек, 130 из них имеют рабочие места. Географически, персонал делится на главный офис в Бонне и дополнительное размещение в Берлине, где они обрабатывают такие подзадачи как выполнение, стандарты и координирование. Из этих 130 человек со своими ИТ рабочими станциями 90 работают в Бонне и 40 в Берлине.

Все рабочие станции объединены в сеть, чтобы сотрудники могли выполнять свою работу. Берлинский филиал подключен по выделенной линии. Все сотрудники могут в любое время обращаться к необходимым им модулям рекомендаций, нормативов, форм и текстов. Все относящиеся к работе продукты размещены в центральной базе данных. Черновые документы готовятся, распространяются и подписываются исключительно в электронном виде. Чтобы внедрять и поддерживать всю необходимую функциональность, в Бонне был организован ИТ департамент.

Рисунок: Пример скорректированного плана сети

В показанном плане сети каждая ИТ-система (сервер, клиентский или другой активный сетевой компонент) показана с идентификационным номером (Sn, Cn, Nn и т.д.), а также в скобках указана функциональность и, при необходимости, операционная система.

И в Берлине и в Бонне клиенты собраны в соответствующие группы. Все 130 клиентов имеют одинаковую виртуальную конфигурацию, но есть разница между ними относительно приложений, интеграции в сеть и базовой инфраструктуры. Группа С1 представляет 5 клиентов в отделе персонала. У них есть доступ к серверу S1 в отделе персонала в Бонне. С2 и С3 представляют 10 клиентов в административном отделе и 75 клиентов в отделах конечных пользователей в Бонне. Единственное отличие здесь ‑ в отношении к используемым прикладным программам. Наконец, группа С4 представляет клиентов в отделах конечных пользователей в Берлине. Они отличаются от групп С1-С3 инфраструктурой окружения и их интеграцией в общую сеть.

Выполненные действия:

• Анализ с помощью существующих графических изображений сети, напр., топологические планы сети;

• При необходимости обновление или разработка планов сети;

• Анализ с помощью существующей дополнительной информации о содержащихся ИТ-системах и при необходимости их обновление и завершение;

• Анализ существующей дополнительной информации о каналах связи и при необходимости их обновление и завершение.

3Сбор информации об ит-системах

С целью определения требований защиты и моделирования ресурсов ИТ, которые в дальнейшем должны выполняться, следует разработать список существующих и планируемых ИТ ресурсов в форме таблицы. Термин "ИТ ресурсы" относится не только к компьютерам, но также к активным сетевым компонентам, сетевым принтерам, телекоммуникационным системам и т.д. Внимание сосредоточено на технической реализации ИТ-систем, напр., отдельных рабочих станций ПК, сервера Windows NT, клиента Windows XP, сервера Unix, телекоммуникационных систем. С этой точки зрения, только такие системы будут рассматриваться (напр., сервер UNIX), а не индивидуальные элементы, которые составляют соответствующую ИТ-систему (т.е. компьютер, клавиатура, монитор и т.д.).

Завершенная и корректная документация по существующим и планируемым ИТ-системам используется не только для разработки концепции безопасности ИТ. Она также нужна для проверки, поддержки, поиска неисправностей и восстановления ИТ-систем.

И объединенные в сеть и необъединенные в сеть ИТ-системы, в особенности те, которые не включены в план сети, должны быть включены. ИТ-системы, которые объединены в группы как часть упрощения плана сети, теперь могут рассматриваться как один объект. Даже ИТ-системы, не перечисленные в плане сети, должны быть проверены на предмет, возможно ли создать соответствующие группы. Это может быть возможно, напр., для большого количества отдельных рабочих станций ПК, которые удовлетворяют требования по разделу "Упрощении с помощью формирования групп", и поэтому они могут быть объединены.

При сборе данных следующая информация, которая потребуется на дальнейших этапах, должна быть отмечена:

• Уникальное имя ИТ-системы;

• Описание (тип и функции);

• Платформа (напр., аппаратная архитектура / операционная система);

• Если есть группы, то чисто ИТ-систем в группе;

• Узел установки ИТ-систем;

• Статус ИТ-систем (операционный, на этапе тестирования, на этапе планирования);

• Пользователь/администратор ИТ-систем.