Дипломная работа: Разработка системы защиты информации для закрытого акционерного общества Бюро кредитных историй

ВВЕДЕНИЕ

В современном мире сложно представить организацию работы человека, предприятия без внедрения автоматизированных систем и процессов. При этом каждый разработчик старается сделать свою систему более простой и удобной в использовании, так как конкуренция на этом рынке достаточно велика. С каждым годом сфера информационных технологий развивается все быстрее. Все больше и больше подвергаются автоматизации различные производственные процессы. Так же неуклонно растет и количество пользователей сети Интернет. И, конечно же, в настоящее время редкая система, даже самая простая, функционирует без использования ресурсов сети Интернет.

Помимо внешних воздействий на безопасность (ограбление, взлом) организации существует угроза утечки информации по информационным каналам связи. Становится недостаточным лишь внешнее обеспечение безопасности. Появляется все больше различных фирм, производящих одинаковые услуги, растет и конкуренция. В таких условиях, каждый руководитель заинтересован в обеспечении целостности, доступности и конфиденциальности информации, касающейся деятельности организации. Для решения таких задач появилось целое направление, связанное с разработкой комплексного подхода к обеспечению безопасности информационных ресурсов на разных уровнях. Комплексное обеспечение защиты информации позволяет предотвратить максимальное количество угроз.

Особое место в списке автоматизированных систем занимают те, которые обрабатывают конфиденциальную информацию. В настоящее время АС разделены на три группы, для каждой из которых соответствуют свои классы защищенности [1].

1. Первая группа включает АС, подразумевающие множество пользователей. В таких АС одновременно обрабатывается и/или хранится информация разных уровней конфиденциальности. Доступ пользователей к информационным ресурсам ограничен. Группа содержит пять классов: 1Д, 1Г, 1В, 1Б, 1А.

2. Вторая группа включает автоматизированные системы, в которых пользователи имеют одни и те же права доступа ко всей информационной базе автоматизированной системы. Информация обрабатывается и/или хранится на носителях различного уровня конфиденциальности. Группа содержит два класса: 2Б, 2А.

3. Третья группа включает автоматизированные системы, в которых работает один пользователь. Пользователь имеет доступ ко всей информационной базе системы. Информация размещена на носителях одного уровня конфиденциальности. Группа содержит два класса: 3Б, 3А.

Для качественного и корректного обеспечения безопасности необходим детальный анализ работы АС, включающий в себя разбор всех процессов, уязвимостей, возможных угроз при НСД.

Поэтому, для данной работы главной целью является разработка системы защиты информации для закрытого акционерного общества «Бюро кредитных историй».

Для решения поставленной задачи требуется проведение следующих работ [2]:

1. Анализ имеющейся системы защиты информации ЗАО «БКИ».

1.1. Аудит имеющейся системы защиты информации ЗАО «БКИ».

1.2. Описание существующих информационных ресурсов ЗАО

«БКИ».

1.3. анализ угроз и уязвимостей системы защиты информации ЗАО

«БКИ».

1.4. Анализ рисков системы защиты информации ЗАО «БКИ».

2. Проектирование.

2.1. Разработка концепции системы защиты информации (политики и процедуры системы).

2.2. Разработка модели системы безопасности.

2.3. Техническое проектирование, разработка документации.

3. Внедрение.

Реализовав все вышеперечисленные действия, удастся построить комплексную систему защиты информации. Система будет включать в себя технические и программные компоненты, что позволит предупредить максимальное количество угроз.

Необходимо проводить своевременное обновление всех средств, входящих в состав системы, следить за корректной работой всех компонентов, предотвращать возможные сбои в работе.

Таким образом, система защиты информации представляет собой комплекс программных и технических средств, организационных мер и правовых норм, направленных на противодействие различного вида угрозам защищаемой информации, информационным системам и пользователям.

В настоящей работе будет рассмотрена условная организация ЗАО «БКИ», которая основана на реальном предприятии. В целях сохранения коммерческой тайны, название данного предприятия разглашаться не может.

1. ОСНОВНЫЕ ПОНЯТИЯ ЗАЩИТЫ ИНФОРМАЦИИ И ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Современные методы обработки, передачи и хранения информации способствуют появлению угроз, связанных с возможностью потери, искажения и раскрытия конфиденциальной информации. Поэтому обеспечение защиты информации компьютерных систем и сетей является одним из ведущих направлений развития информационных технологий.

Ниже представлены основные определения защиты информации и информационной безопасности компьютерных систем и сетей с учетом определений ГОСТ Р 50922-2006 «Защита информации. Основные термины и понятия».

Защита информации -- организационные меры, направленные на предотвращение утечки конфиденциальной информации и нежелательных воздействий на защищаемую информацию.

Защита информации от утечки -- организационные и технические меры, направленные на предотвращение неконтролируемого распространения/копирования конфиденциальной информации в результате ее разглашения и НСД к ней.

Защита информации от разглашения -- организационные и технические меры, направленные на предотвращение несанкционированного доступа к конфиденциальной информации и разглашения ее субъектам, не имеющим права доступа к этой информации. Защита информации от НСД -- организационные и технические меры, направленные на предотвращение получения защищаемой информации заинтересованными субъектами с нарушением установленных нормативными и правовыми документами (актами) или обладателями информации прав или правил разграничения доступа к защищаемой информации.

Система защиты информации -- совокупность субъектов и объектов конфиденциальной информации, технических и программных средств защиты информации. Такая система создается и функционирует в соответствии с правилами и нормами, которые устанавливаются соответствующими руководящими актами в области защиты информации в РФ.

Современная автоматизированная система обработки конфиденциальной информации представляет собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя. Компоненты АС можно разбить на следующие группы [3]:

1. Аппаратные средства -- компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства -- дисководы, принтеры, контроллеры, кабели, линии связи и т. д.).

2. Программное обеспечение -- различные программы, утилиты и т. д.

3. Данные -- различная информация, хранящаяся на дисках, дискетах, в журналах и т.д.

4. Персонал -- пользователи системы и обслуживающие сотрудники.

Для обеспечения безопасности всех компонентов АС необходим комплексный подход к разработке системы защиты конфиденциальной информации. Так же не стоит забывать и об используемых в процессе построения системы средствах защиты. Все СЗКИ должны быть сертифицированы [4].

аутентификация шифрование безопасность компьютерный

1.1 Сертификация средств защиты конфиденциальной информации

Средства защиты конфиденциальной информации, которые используются при организации системы защиты информации, обязательно должны быть сертифицированы в соответствии с государственными стандартами.

Сертификация - процесс сопоставления средств защиты с государственными стандартами, и дальнейшая выдача подтверждения при успешном тестировании [5].

Сертификация средств защиты информации по требованиям безопасности и защиты информации -- организационные меры по подтверждению свойств технических и программных средств защиты информации в соответствии с требованиями государственных стандартов. Согласно требованиям действующего законодательства, обязательной сертификации подлежат средства защиты следующей информации [6]:

1. Сведения, составляющие государственную тайну.

Государственная тайна - сведения, которые находятся под защитой государства, в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной областях. Распространение таких данных может нанести ущерб безопасности РФ.

2. Государственные информационные ресурсы.

Государственные информационные ресурсы -- находящиеся в собственности государства ресурсы.

3. Персональные данные.

Персональные данные -- любая информация, прямо или косвенно относящаяся к субъекту конфиденциальной информации.

1.2 Лицензирование в области защиты информации

Лицензированием в области защиты информации называется деятельность, которая заключается в передаче/получении прав на проведение различных работ в области защиты информации. Государственная политика РФ в области лицензирования определенных видов деятельности и обеспечения защиты жизненно важных интересов личности, общества и государства определяется Постановлением Правительства Российской Федерации от 24 декабря 1994 г. № 1418 «О лицензировании отдельных видов деятельности».

Лицензия - разрешение на право проведения работ в области безопасности и защиты информации. Лицензия выдается на определенные виды деятельности и действительна в течение 3 лет, по истечении которых осуществляется ее проверка в порядке, который установлен для выдачи лицензии.

Лицензия выдается в том случае, когда предприятие/организация/компания, которое подало заявку на получение лицензии, имеет все необходимые условия для проведения лицензирования. В частности, необходимо иметь производственную и экспериментальную база, нормативную и методическую документацию, располагать научными и инженерно-техническими сотрудниками [7].

Деятельность по лицензированию в области защиты информации выполняют ФСБ и ФСТЭК России.

Виды деятельности, которые требуют наличия лицензии ФСБ России:

1. Разработка и/или производство средств защиты конфиденциальной информации.

2. Разработка, производство, внедрение и приобретение для продажи специализированных программных и технических средств, которые предназначены для конфиденциального использования конфиденциальной информации индивидуальными предпринимателями и юридическими лицами, которые осуществляют предпринимательскую деятельность.

3. Действия, направленные на выявление радиоэлектронных устройств, которые предназначены для негласного получения конфиденциальной информации в помещениях и технических средствах.

4. Деятельность по распространению криптографических средств.

5. Деятельность, заключающаяся в обслуживании криптографических средств.

6. Предоставление определенных видов услуг в области шифрования конфиденциальной информации.

Виды деятельности, лицензируемые ФСТЭК России:

1. Деятельность по технической защите конфиденциальной информации.

2. Разработка и/или производство средств защиты конфиденциальной информации.

Таким образом, для соблюдения всех правовых аспектов необходимо использовать только сертифицированные СКЗИ для организации системы защиты информации. Так же необходимо получить лицензию для работы с конфиденциальной информацией.

1.3 Методы и средства защиты информации

Можно выделить основные принципы создания СЗИ [8]:

1. Системный подход к построению системы защиты информации, такой подход включает в себя оптимальное сочетание программных, аппаратных, физических и других средств защиты.

2. Принцип постоянного развития системы. Этот принцип является одним из основных в организации системы защиты информации. Способы взлома конфиденциальной информации постоянно развиваются, поэтому обеспечение защищенности информационной системы не может быть статическим. Это динамический процесс, который заключается в анализе и реализации наиболее рациональных методов, способов и путей преобразования системы защиты.

3. Разделение и сведение полномочий по доступу к защищаемой информации к минимуму.

4. Полный контроль и регистрация попыток НСД. Необходимость идентификация и аутентификация каждого пользователя и контролирование его действий с последующим отмечанием фактов совершения различных действий в специализированных журналах. Также ограничение по совершению какого-либо действия в информационной системе без его предварительной регистрации.