Таткоммунэнерго управление рисками информационной безопасности

Информационная безопасность, риски, защита информации, биометрическая система динамической идентификации и аутентификации, клавиатурный почерк, мера Хэмминга.

Объект проектирования: АО РПО «Таткоммунэнерго». Основным видом деятельности компании является производство пара и горячей воды (тепловой энергии) котельными.

Цель работы: анализ и совершенствование управление рисками информационной безопасности на предприятии АО РПО «Таткоммунэнерго».

Проектные предложения: в рамках дипломного проекта был разработан программный пакет BioSec 1.0, предназначенный для изучения методов аутентификации пользователей по клавиатурному почерку на персональных компьютерах под управлением ОС Windows. Программный пакет был создан и протестирован на ПК. В качестве среды разработки был использован программный комплекс Borland Delphi.

Основные результаты проекта, их новизна, значимость: технология программы базируется на алгоритме, который позволяет на основе анализа временных интервалов по нажатию и отпусканию клавиш построить индивидуальный для пользователя шаблон. Программа дает достаточно устойчивые результаты: даже при наборе пароля из небольшого числа знаков можно с высокой степенью вероятности определить пользователя. Это позволяет говорить о том, что клавиатурный почерк может быть использован в качестве основы для построения системы биометрической аутентификации пользователя.

ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ

АО РПО «Таткоммунэнерго» - Акционерное Общество «Республиканское Производственное Объединение «Таткоммунэнерго»

АИС - автоматизированная информационная система

КСЗИ - комплексная система защиты информации

HТУ - научно-технический уровень

ПК - персональный компьютер

ПЭФ - показатели эффективности

СИС - сложная информационная система

РФ - Российская Федерация

ЭВМ - электронно-вычислительная машина

ВВЕДЕНИЕ

Современные информационные технологии приобретают глобальный характер, охватывая все сферы жизнедеятельности человека, формируя информационное единство всей человеческой цивилизации. С помощью глобальной вычислительной сети Интернет объединяются и перемещаются на любые расстояния гигантские объемы информации, обеспечивается доступ многочисленных пользователей, расположенных на практически неограниченной территории к информационным ресурсам всего мирового сообщества.

Проблема защиты информации появилась задолго до разработки компьютерной техники, а появление ЭВМ лишь перевело ее на новый уровень. И как показывает практика: лучшая защита от нападения это не допускать его. Для описания технологий защиты информации РФ отдельно рассматриваются следующие направления: защита объектов информационных систем; защита процессов, процедур и программ обработки данных; защита каналов связи (акустические, инфракрасные, проводные, радиоканалы и т.д.); подавление побочных электромагнитных излучений; управление системой защиты. А для осуществления этой защиты требуются надежные методы и средства.

Повышения эффективности методов и средств защиты информации в РФ проводятся по трем направлениям: техническое, организационное и правовое. Правовая защита информации предусматривает гарантированность соблюдения законности при засекречивании информации и обеспечения ее защиты от неправомерного получения и использования; соблюдение установленных федеральными законами ограничений в отношении использования, употребления и распространения данной информации.

Правовая защита информации обеспечивается строго нормативно-законодательными актами. Организационная защита информации предполагает проведение таких мероприятий как ограничение числа допускаемых лиц к защищаемой информации, повышение квалификации персонала, обращение внимания на личную ответственность персонала за сохранность доверенной информации, нахождение единства мнений в решении производственных вопросов, исключение возможности работы посторонних лиц на компьютерной технике и т.п.

Также нужно выделить развитие технических и криптографических методов защиты информации, которые могут быть реализованы в виде технических устройств, программ и программно-аппаратных средств. Именно эти методы в основном обеспечивают надежную защиту информации в различных системах ее обработки и различных условиях их функционирования.

Объектом исследования выступает АО РПО «Таткоммунэнерго».

Предметом исследования является система безопасности информации в АО РПО «Таткоммунэнерго».

Целью настоящего дипломного проекта является анализ и совершенствование управление рисками информационной безопасности на предприятии АО РПО «Таткоммунэнерго».

Для достижения указанной цели были поставлены следующие задачи:

- изучить теоретические основы оценки информационной безопасности;

- провести анализ инофрационной безопасности на предприятии АО РПО «Таткоммунэнерго»;

- разработать предложения по улучшению информационной безопасности в АО РПО «Таткоммунэнерго»;

- разработать систему информационной безопасности на предприятии АО РПО «Таткоммунэнерго»;

- разработать и реализовать проект автоматизированной системы защиты информации на предприятии;

- провести оценку экономической эффективности предложенных мероприятий.

1. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ РИСКОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

1.1. Понятие информационной безопасности

Публикации в зарубежной печати последних лет показывают, что возможности злоупотребления информацией, передаваемой по каналам связи, развивались и совершенствовались не менее интенсивно, чем средства их предупреждения. Поэтому для защиты информации требуется не просто разработка частных механизмов защиты, а организация целого комплекса мер, т. е. использование специальных средств, методов и мероприятий с целью предотвращения потери информации. Таким образом, сегодня рождается новая современная технология - технология защиты информации в автоматизированных информационных системах и в сетях передачи данных.

Для того чтобы принятые меры оказались эффективными, необходимо определить, что такое угроза безопасности информации, выявить каналы утечки данных и пути несанкционированного доступа к защищаемой информации. Основными типовыми путями несанкционированного доступа к информации, являются:

- перехват электронных излучений;

- принудительное электромагнитное облучение (подсветка) линий связи с целью получения паразитной модуляции;

- применение прослушивающих устройств (закладок);

- дистанционное фотографирование;

- перехват акустических излучений и восстановление текста принтера;

- хищение носителей информации и документальных отходов;

- чтение остаточной информации в памяти системы после выполнения санкционированных запросов;

- копирование носителей информации с преодолением мер защиты;

- маскировка под зарегистрированного пользователя;

- мистификация (маскировка под запросы системы);

- использование программных ловушек;

- использование недостатков языков программирования и операционных систем;

- включение в библиотеки программ специальных блоков типа «Троянский конь»;

- незаконное подключение к аппаратуре и каналам связи;

- злоумышленный вывод из строя механизмов защиты;

- внедрение и использование компьютерных вирусов. Возможные пути утечки информации при обработке и передаче данных в автоматизированной информационной системе приведены на рис. 1.

Рис. 1. Возможные пути утечки информации

Необходимо отметить, что особую опасность в настоящее время представляет проблема компьютерных вирусов, так как эффективной защиты против них разработать не удалось. Остальные пути несанкционированного доступа поддаются надежной блокировке при правильно разработанной и реализуемой на практике системе обеспечения безопасности.

Криптография как средство защиты (закрытия) информации приобретает все более важное значение в мире коммерческой деятельности.

Криптография имеет достаточно давнюю историю. Вначале она применялась главным образом в области военной и дипломатической связи. Теперь она необходима в производственной и коммерческой деятельности. Если учесть, что сегодня по каналам шифрованной связи только у нас в стране передаются сотни миллионов сообщений, телефонных переговоров, огромные объемы компьютерных и телеметрических данных, и все это не для чужих глаз и ушей, становится ясным: сохранение тайны этой здесь крайне необходимо.

Криптография включает в себя несколько разделов современной математики, а также специальные отрасли физики, радиоэлектроники, связи и некоторых других смежных отраслей. Ее задачей является преобразование математическими методами передаваемого по каналам связи секретного сообщения, телефонного разговора или компьютерных данных таким образом, что они становятся совершенно непонятными для посторонних лиц.

То есть криптография должна обеспечить такую защиту секретной (или любой другой) информации, что даже в случае ее перехвата посторонними лицами и обработки любыми способами с использованием самых быстродействующих ЭВМ и последних достижений науки и техники, она не должна быть дешифрована в течение нескольких десятков лет. Для такого преобразования информации используются различные шифровальные средства – такие, как средства шифрования документов, в том числе и портативного исполнения, средства шифрования речи (телефонных и радиопереговоров), телеграфных сообщений и передачи данных.

Исходная информация, которая передается по каналам связи, может представлять собой речь, данные, видеосигналы, называется незашифрованными сообщениями Р. В устройстве шифрования сообщение Р шифруется (преобразуется в сообщение С) и передается по «незакрытому» каналу связи. На приемной стороне сообщение С дешифруется для восстановления исходного значения сообщения Р.

Параметр, который может быть применен для извлечения отдельной информации, называется ключом. Если в процессе обмена информацией для шифрования и чтения использовать один тот же ключ, то такой криптографический процесс называется симметричным. Его основным недостатком является то, что прежде, чем начать обмен информацией, нужно выполнить передачу ключа, а для этого необходима защищенная связь.

В настоящее время при обмене данными по каналам связи используется несимметричное криптографическое шифрование, основанное на использовании двух ключей. Это новые криптографические алгоритмы с открытым ключом, основанные на использовании ключей двух типов: секретного (закрытого) и открытого.

В криптографии с открытым ключом имеются, по крайней мере, два ключа, один из которых невозможно вычислить из другого. Если ключ расшифрования вычислительными методами невозможно получить из ключа зашифрования, то секретность информации, зашифрованной с помощью несекретного (открытого) ключа, будет обеспечена. Однако этот ключ должен быть защищен от подмены или модификации. Ключ расшифрования также должен быть секретным и защищен от подмены или модификации.

Если, наоборот, вычислительными методами невозможно получить ключ зашифрования из ключа расшифрования, то ключ расшифрования может быть не секретным. Ключи устроены таким образом, что сообщение, зашифрованное одной половинкой, можно расшифровать только другой половинкой. Создав пару ключей, компания широко распространяет открытый (публичный) ключ и надежно охраняет закрытый (личный) ключ.

Защита публичным ключом не является абсолютно надежной. Изучив алгоритм ее построения можно реконструировать закрытый ключ. Однако знание алгоритма еще не означает возможность провести реконструкцию ключа в разумно приемлемые сроки. Исходя из этого, формируется принцип достаточности защиты информации: защиту информации принято считать достаточной, если затраты на ее преодоление превышают ожидаемую стоимость самой информации. Этим принципом руководствуются при несимметричном шифровании данных.

Разделение функций зашифрования и расшифрования посредством разделения на две части дополнительной информации, требуемой для выполнения операций, является той ценной идеей, которая лежит в основе криптографии с открытым ключом. Криптографической защите специалисты уделяют особое внимание, считая ее наиболее надежной, а для информации, передаваемой по линии связи большой протяженности, – единственным средством защиты от хищений.

1.2. Классификация методов и средств защиты информации

Компьютерные преступления чрезвычайно многогранные и сложные явления. Объектами таких преступных посягательств могут быть сами технические средства (компьютеры и периферия) как материальные объекты или программное обеспечение и базы данных, для которых технические средства являются окружением; компьютер может выступать как предмет посягательств или как инструмент.

Виды компьютерных преступлений чрезвычайно многообразны. Это и несанкционированный доступ к информации, хранящейся в компьютере, и ввод в программное обеспечение «логических бомб», которые срабатывают при выполнении определенных условий и частично или полностью выводят из строя компьютерную систему, и разработка и распространение компьютерных вирусов, и хищение компьютерной информации. Компьютерное преступление может произойти также из-за небрежности в разработке, изготовлении и эксплуатации программно-вычислительных комплексов или из-за подделки компьютерной информации. Среди всего набора методов защиты информации выделяют следующие (рис. 2).

i_239

Рис. 2. Классификация методов защиты информации в компьютерных системах

К методам и средствам организационной защиты информации относятся организационно-технические и организационно-правовые мероприятия, проводимые в процессе создания и эксплуатации КС для обеспечения защиты информации. Эти мероприятия должны проводиться при строительстве или ремонте помещений, в которых будут размещаться компьютеры; проектировании системы, монтаже и наладке ее технических и программных средств; испытаниях и проверке работоспособности компьютерной системы.

Основой проведения организационных мероприятий является использование и подготовка законодательных и нормативных документов в области информационной безопасности, которые на правовом уровне должны регулировать доступ к информации со стороны потребителей. В российском законодательстве позже, чем в законодательстве других развитых стран, появились необходимые правовые акты (хотя далеко не все). Инженерно-техническая защита (ИТЗ) – это совокупность специальных органов, технических средств и мероприятий по их использованию в интересах защиты конфиденциальной информации.

Многообразие целей, задач, объектов защиты и проводимых мероприятий предполагает рассмотрение некоторой системы классификации средств по виду, ориентации и другим характеристикам.

Например, средства инженерно-технической защиты можно рассматривать по объектам их воздействия. В этом плане они могут применяться для защиты людей, материальных средств, финансов, информации.

Многообразие классификационных характеристик позволяет рассматривать инженерно-технические средства по объектам воздействия, характеру мероприятий, способам реализации, масштабу охвата, классу средств злоумышленников, которым оказывается противодействие со стороны службы безопасности.

По функциональному назначению средства инженерно-технической защиты делятся на следующие группы:

- физические средства, включающие различные средства и сооружения, препятствующие физическому проникновению (или доступу) злоумышленников на объекты защиты и к материальным носителям конфиденциальной информации и осуществляющие защиту персонала, материальных средств, финансов и информации от противоправных воздействий;

- аппаратные средства – приборы, устройства, приспособления и другие технические решения, используемые в интересах защиты информации. В практике деятельности предприятия находит широкое применение самая различная аппаратура, начиная с телефонного аппарата до совершенных автоматизированных систем, обеспечивающих производственную деятельность. Основная задача аппаратных средств – обеспечение стойкой защиты информации от разглашения, утечки и несанкционированного доступа через технические средства обеспечения производственной деятельности;

- программные средства, охватывающие специальные программы, программные комплексы и системы защиты информации в информационных системах различного назначения и средствах обработки (сбор, накопление, хранение, обработка и передача) данных;

- криптографические средства – это специальные математические и алгоритмические средства защиты информации, передаваемой по системам и сетям связи, хранимой и обрабатываемой на ЭВМ с использованием разнообразных методов шифрования.

Физические средства защиты – это разнообразные устройства, приспособления, конструкции, аппараты, изделия, предназначенные для создания препятствий на пути движения злоумышленников.

К физическим средствам относятся механические, электромеханические, электронные, электронно-оптические, радио– и радиотехнические и другие устройства для воспрещения несанкционированного доступа (входа, выхода), проноса (выноса) средств и материалов и других возможных видов преступных действий.

Эти средства применяются для решения следующих задач:

1) охрана территории предприятия и наблюдение за ней;

2) охрана зданий, внутренних помещений и контроль за ними;

3) охрана оборудования, продукции, финансов и информации;

4) осуществление контролируемого доступа в здания и помещения.

Все физические средства защиты объектов можно разделить на три категории: средства предупреждения, средства обнаружения и системы ликвидации угроз. Охранная сигнализация и охранное телевидение, например, относятся к средствам обнаружения угроз; заборы вокруг объектов – это средства предупреждения несанкционированного проникновения на территорию, а усиленные двери, стены, потолки, решетки на окнах и другие меры служат защитой и от проникновения, и от других преступных действий (подслушивание, обстрел, бросание гранат и взрывпакетов и т. д.). Средства пожаротушения относятся к системам ликвидации угроз.

К аппаратным средствам защиты информации относятся самые различные по принципу действия, устройству и возможностям технические конструкции, обеспечивающие пресечение разглашения, защиту от утечки и противодействие несанкционированному доступу к источникам конфиденциальной информации. Аппаратные средства защиты информации применяются для решения следующих задач: 1) проведение специальных исследований технических средств обеспечения производственной деятельности на наличие возможных каналов утечки информации; 2) выявление каналов утечки информации на разных объектах и в помещениях; 3) локализация каналов утечки информации; 4) поиск и обнаружение средств промышленного шпионажа; 5) противодействие несанкционированному доступу к источникам конфиденциальной информации и другим действиям.

Системы защиты компьютера от чужого вторжения весьма разнообразны и классифицируются, как:

1) средства собственной защиты, предусмотренные общим программным обеспечением;

2) средства защиты в составе вычислительной системы;

3) средства защиты с запросом информации;

4) средства активной защиты;

5) средства пассивной защиты и другие.

Можно выделить следующие направления использования программ для обеспечения безопасности конфиденциальной информации, в частности такие:

1) защита информации от несанкционированной доступа;

2) защита информации от копирования;

3) защита программ от копирования;

4) защита программ от вирусов;

5) защита информации от вирусов;

6) программная защита каналов связи.

По каждому из указанных направлений имеется достаточное количество качественных, разработанных профессиональными организациями и распространяемых на рынках программных продуктов.

Программные средства защиты имеют следующие разновидности специальных программ:

1) идентификации технических средств, файлов и аутентификации пользователей;

2) регистрации и контроля работы технических средств и пользователей;

3) обслуживания режимов обработки информации ограниченного пользования;

4) защиты операционных средств ЭВМ и прикладных программ пользователей;

5) уничтожения информации в защитные устройства после использования;

6) сигнализирующих нарушения использования ресурсов;

7) вспомогательных программ защиты различного назначения.

Для защиты от чужого вторжения обязательно предусматриваются определенные меры безопасности. Основные функции, которые должны осуществляться программными средствами, это:

1) идентификация субъектов и объектов;

2) разграничение (иногда и полная изоляция) доступа к вычислительным ресурсам и информации;

3) контроль и регистрация действий с информацией и программами.

Наиболее распространенным методом идентификации является парольная идентификация. Однако практика показывает, что парольная защита данных является слабым звеном, так как пароль можно подслушать или подсмотреть, перехватить или просто разгадать.

Средства защиты от копирования предотвращают использование ворованных копий программного обеспечения и являются в настоящее время единственно надежным средством – как защищающим авторское право программистов-разработчиков, так и стимулирующих развитие рынка. Под средствами защиты от копирования понимаются средства, обеспечивающие выполнение программой своих функций только при опознании некоторого уникального некопируемого элемента. Таким элементом (называемым ключевым) может быть usb-накопитель, определенная часть компьютера или специальное устройство, подключаемое к персональному компьютеру. Защита от копирования реализуется выполнением ряда функций, являющихся общими для всех систем защиты:

1. Идентификация среды, из которой будет запускаться программа (usb-накопитель или ПК);

2. Аутентификация среды, из которой запущена программа;

3. Реакция на запуск из несанкционированной среды;

4. Регистрация санкционированного копирования;

5. Противодействие изучению алгоритмов работы системы.

Вредительские программы и, прежде всего, вирусы представляют очень серьезную опасность при хранении на ПЭВМ конфиденциальной информации. Недооценка этой опасности может иметь серьезные последствия для информации пользователей. Знание механизмов действия вирусов, методов и средств борьбы с ними позволяет эффективно организовать противодействие вирусам, свести к минимуму вероятность заражения и потерь от их воздействия.

«Компьютерные вирусы» – это небольшие исполняемые или интерпретируемые программы, обладающие свойством распространения и самовоспроизведения (репликации) в компьютерной системе. Вирусы могут выполнять изменение или уничтожение программного обеспечения или данных, хранящихся в ПЭВМ. В процессе распространения вирусы могут себя модифицировать.

В настоящее время в мире насчитывается более 40 тысяч только зарегистрированных компьютерных вирусов. Так как подавляющее большинство современных вредительских программ обладают способностью к саморазмножению, то часто их относят к компьютерным вирусам. Все компьютерные вирусы могут быть классифицированы по следующим признакам:

– по среде обитания вируса,

– по способу заражения среды обитания,

– по деструктивным возможностям,

– по особенностям алгоритма вируса.

Массовое распространение вирусов, серьезность последствий их воздействия на ресурсы компьютеров вызвали необходимость разработки и использования специальных антивирусных средств и методов их применения. Антивирусные средства применяются для решения следующих задач:

– обнаружение вирусов в КС,

– блокирование работы программ-вирусов,

– устранение последствий воздействия вирусов.

Обнаружение вирусов желательно осуществлять на стадии их внедрения или, по крайней мере, до начала осуществления деструктивных функций вирусов. Необходимо отметить, что не существует антивирусных средств, гарантирующих обнаружение всех возможных вирусов.

При обнаружении вируса необходимо сразу же прекратить работу программы-вируса, чтобы минимизировать ущерб от его воздействия на систему.

Устранение последствий воздействия вирусов ведется в двух направлениях:

– удаление вирусов,

– восстановление (при необходимости) файлов, областей памяти.

Для борьбы с вирусами используются программные и аппаратно-программные средства, которые применяются в определенной последовательности и комбинации, образуя методы борьбы с вирусами.

Самым надежным методом защиты от вирусов является использование аппаратно-программных антивирусных средств. В настоящее время для защиты ПЭВМ используются специальные контроллеры и их программное обеспечение. Контроллер устанавливается в разъем расширения и имеет доступ к общей шине. Это позволяет ему контролировать все обращения к дисковой системе. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах работы не допускается.

Таким образом, можно установить защиту на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.При выполнении запретных действий любой программой контроллер выдает соответствующее сообщение пользователю и блокирует работу ПЭВМ. Аппаратно-программные антивирусные средства обладают рядом достоинств перед программными: работают постоянно; обнаруживают все вирусы, независимо от механизма их действия; блокируют неразрешенные действия, являющиеся результатом работы вируса или неквалифицированного пользователя.

Недостаток у этих средств один – зависимость от аппаратных средств ПЭВМ. Изменение последних ведет к необходимости замены контроллера.

Современные программные антивирусные средства могут осуществлять комплексную проверку компьютера на предмет выявления компьютерных вирусов. Для этого используются такие антивирусные программы как – Kaspersky Anti-Virus (AVP), Norton Antivirus, Dr. Web, Symantec Antivirus. Все они имеют антивирусные базы, которые периодически обновляются.

1.3. Основы оценки защищенности информации

Под эффективностью системы понимают степень достижения цели этой системой. Целями создания КСЗИ являются предотвращение и/или минимизация воздействия угроз информационной безопасности, обеспечение непрерывности ведения бизнеса. Эффективность КСЗИ оценивается как на этапе разработки, так и в процессе эксплуатации.

В оценке эффективности КСЗИ в зависимости от используемых показателей и способов их получения можно выделить три подхода: вероятностный, оценочный, экспертный. Под вероятностным подходом к оценке эффективности понимается использование критериев эффективности, полученных с помощью показателей эффективности. Значения показателей эффективности получаются путем моделирования или вычисляются по характеристикам реальной системы. Такой подход используется при разработке и модернизации КСЗИ.

Однако возможности вероятностных методов комплексного оценивания эффективности применительно к КСЗИ ограничены в силу ряда причин. Высокая степень неопределенности исходных данных, сложность формализации процессов функционирования, отсутствие общепризнанных методик расчета показателей эффективности и выбора критериев оптимальности создают значительные трудности для применения вероятностных методов оценки эффективности. КСЗИ относится к классу целенаправленных сложных систем, в которых в качестве взаимосвязанных элементов выступают материальные объекты (технические средства связи, СВТ, АС и обслуживающий их персонал).

Как и все сложные системы, КСЗИ обладают определенной совокупностью свойств. Каждое свойство может быть описано количественно с помощью некоторой переменной, значение которой характеризует меру его качества относительно этого свойства. Переменную, представляющую собой числовую характеристику или функцию, принято называть показателем качества (свойства) (ПК) или частным показателем качества (ЧПК) КСЗИ. Изменение состояния сложной информационной системы (в нашем случае КСЗИ) под воздействием окружающей среды характеризует поведение этой системы и описывается целенаправленными процессами функционирования элементов системы и всей системы в целом. Проблемам оценки эффективности сложных целенаправленных систем посвящено большое количество работ, анализ которых позволяет выделить несколько этапов в развитии теории эффективности.

К начальному этапу можно отнести период до середины 1970-х гг., когда анализ эффективности функционированиясложных систем шел по пути оценки отдельных их свойств, а результатом оценки эффективности выступали оценки отдельных ПК системы. К началу 1980-х гг. анализ эффективности функционирования начал проводиться как комплексная оценка совокупности свойств системы. В эти годы оформилось новое направление в науке - теория эффективности.

Согласно методологии вероятностного анализа эффективности, под эффективностью процесса функционирования системы понимается комплексное операционное свойство этого процесса, характеризующееся оценочным суждением относительно пригодности или приспособленности КСЗИ для решения поставленных задач на основе определения ПК КСЗИ или показателей эффективности (ПЭФ) процесса функционирования КСЗИ.

Под ПЭФ процесса функционирования любой сложной системы понимается мера соответствия реального результата функционирования системы требуемому. Исходя из требований, предъявляемых к ПЭФ, учитывая специфику процесса функционирования КСЗИ, в качестве ПЭФ используют вероятность соответствия КСЗИ своему функциональному предназначению.

Многокритериальный характер требований к безопасности, учет протекающих в КСЗИ процессов приводят к постановке векторной задачи анализа эффективности функционирования КСЗИ.

Методы оценки эффективности функционирования сложных информационных систем (СИС) можно классифицировать так, как показано на рис. 3.

Рис. 3. Методы оценки эффективности сложных информационных систем

Устройства аудионаблюдения, с помощью которых ведется прослушивание, легко установить и крайне трудно обнаружить, поскольку современная аппаратура миниатюрна, надежна и имеет длительный срок действия. Такой подход можно условно назвать оценочным. Требования могут быть установлены государством или иным собственником информационных ресурсов. К сожалению, в настоящее время в РФ не существует единых требований по защите конфиденциальной информации. Требования, изложенные в разных нормативных правовых актах, относятся лишь к какой-то части этой информации и зачастую противоречат друг другу. Можно выделить две группы требований по характеру их детализации: общие и специальные.

К общим отнесем требования, изложенные в Федеральных законах «О персональных данных», «О коммерческой тайне», «О банках и банковской деятельности» и др. К специальным отнесем требования по криптографической защите информации: технической защите информации от утечки по каналам ПЭМИН; технической защите речевой информации; защите информации от НСД в АС.

Согласно ФЗ «О персональных данных» [1] операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением случаев обезличивания персональных данных и общедоступных персональных данных. Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

Правительство РФ устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных и требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.

Контроль и надзор за выполнением требований осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.

2. АНАЛИЗ РИСКОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

АО РПО «ТАТКОММУНЭНЕРГО»

2.1. Общая характеристика предприятия

АО РПО «Таткоммунэнерго» зарегистрировано по адресу г.Казань, ул.Николая Ершова, д.28А, 420061. Основным видом деятельности компании является Производство пара и горячей воды (тепловой энергии) котельными. Также РПО «Таткоммунэнерго», АО работает еще по 18 направлениям.

Нарушителями целостности информации в автоматизированных информационных системах экономического объекта являются, прежде всего, пользователи и работники АИС, имеющие доступ к информации. По данным некоторых исследований, 81,7% нарушений совершается служащими организации, имеющими доступ к АИС, и только 17,3% - лицами со стороны (в том числе 1% приходится на случайных лиц). Нарушителем в АО РПО «Таткоммунэнерго» может быть лицо из следующих категорий:

- специалисты АО РПО «Таткоммунэнерго»;

- сотрудники-программисты, сопровождающие системное, общее и прикладное программное обеспечение;

- обслуживающий персонал (инженерные работники АИС);

- другие сотрудники, имеющие санкционированный доступ к ресурсам автоматизированной информационной системы (в том числе подсобные рабочие, уборщицы и т.д.).

Доступ к ресурсам автоматизированной информационной системы других посторонних лиц, не принадлежащих к указанным категориям, исключается организационно-режимными мерами.

Требования по защите информации от несанкционированного доступа в АО РПО «Таткоммунэнерго» направлены на достижение трех основных свойств защищаемой информации:

- конфиденциальность, т. е. засекреченная информация должна быть доступна только тому, кому она предназначена;

- целостность, т. е. информация, на основе которой принимаются важные решения, должна быть достоверной и точной и должна быть защищена от возможных непреднамеренных и злоумышленных искажений;

- готовность, т. е. информация и соответствующие информационные службы АО РПО «Таткоммунэнерго» должны быть доступны, готовы к обслуживанию всегда, когда в них возникает необходимость.

В части технической реализации защита от несанкционированного доступа в АО РПО «Таткоммунэнерго» сводится к задаче разграничения функциональных полномочий и доступа к данным с целью не только использования информационных ресурсов, но и их модификации.

Защита информации в каналах связи направлена на предотвращение возможности несанкционированного доступа к конфиденциальной информации, циркулирующей по каналам связи различных видов между разными уровнями управления АО РПО «Таткоммунэнерго» или внешними органами. Данный вид защиты преследует достижение тех же целей: обеспечение конфиденциальности и целостности информации. Наиболее эффективным средством защиты финансовой информации в неконтролируемых каналах связи является применение криптографии и специальных связных протоколов.

Защита юридической значимости электронных документов оказывается необходимой при использовании систем и сетей для обработки, хранения и передачи информационных объектов, содержащих в себе приказы, платежные поручения и другие распорядительные, договорные и финансовые документы. Их общая особенность заключается в том, что в случае возникновения споров (в том числе и судебных), должна быть обеспечена возможность доказательства истинности факта того, что автор действительно фиксировал акт своего волеизъявления в отчуждаемом электронном документе.

Для решения данной проблемы используются современные криптографические методы проверки подлинности информационных объектов, связанные с применением электронных (цифровых) подписей. На практике вопросы защиты значимости электронных документов решаются совместно с вопросами защиты автоматизированной информационной системы АО РПО «Таткоммунэнерго».

Защита финансовой информации от утечки по каналам побочных электромагнитных излучений и наводок является важным аспектом защиты конфиденциальной и секретной информации в вычислительной технике от несанкционированного доступа со стороны посторонних лиц. Данный вид защиты направлен на предотвращение возможности утечки информативных электромагнитных сигналов за пределы охраняемой территории АО РПО «Таткоммунэнерго».

При этом предполагается, что внутри охраняемой территории применяются эффективные режимные меры, исключающие возможность бесконтрольного использования специальной аппаратуры перехвата, регистрации и отображения электромагнитных сигналов. Для защиты от побочных электромагнитных излучений и наводок широко применяется экранирование помещений, предназначенных для размещения средств вычислительной техники, а также технические меры, позволяющие снизить интенсивность информативных излучений самого оборудования персональных компьютеров и каналов связи.

В некоторых ответственных случаях может быть необходима дополнительная проверка вычислительной техники на предмет возможного выявления специальных закладных устройств финансового шпионажа, которые могут быть внедрены туда с целью регистрации или записи информативных излучений персонального компьютера, а также речевых и других несущих уязвимую информацию сигналов.

Защита от несанкционированного копирования и распространения программ и ценной компьютерной информации является самостоятельным видом защиты прав, ориентированных на проблему охраны интеллектуальной собственности, воплощенной в виде программ и ценных баз данных. Данная защита обычно осуществляется с помощью специальных программных средств, подвергающих защищаемые программы и базы данных предварительной обработке (вставка парольной защиты, проверок по обращениям к устройствам хранения ключа, блокировка отладочных прерываний, проверка рабочего персонального компьютера по его уникальным характеристикам и т.д.), которая приводит исполнимый код защищаемой программы и базы данных в состояние, препятствующее его выполнению на «чужих» персональных компьютерах.

Общим свойством средств защиты программ и баз данных в АО РПО «Таткоммунэнерго» от несанкционированного копирования является ограниченная стойкость такой защиты, так как в конечном случае исполнимый код программы поступает на выполнение в центральный процессор в открытом виде и может быть прослежен с помощью аппаратных отладчиков. Однако это обстоятельство не снижает потребительских свойств средств защиты до минимума, так как основной целью их применения является максимальное затруднение хотя бы временно несанкционированного копирования ценной информации.

Таким образом, бБезопасность информации в АО РПО «Таткоммунэнерго» обеспечивают криптографическая защита, цифровая (электронная) подпись, контроль и разграничение доступа, система регистрации и учета информации, целостность данных, аутентификация, подстановка трафика, управление маршрутизацией и арбитраж.

К методам обеспечения безопасности информации в АО РПО «Таткоммунэнерго» относятся препятствие, управление доступом, маскировка, регламентация, принуждение, побуждение. К средствам защиты информации в АО РПО «Таткоммунэнерго» относятся технические, программные, организационные, морально-этические и законодательные.

2.2. Модель угроз информационной безопасности предприятия

С целью упрощения и дальнейшего разбиения процесса обоснования и обеспечения информационной безопасности АО РПО «Таткоммунэнерго» разработана модель вероятных угроз. Разработка модели угроз производилась в соответствии с Руководящим документом (РД) РФ «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий», РД РФ «Безопасность информационных технологий. Типовые модели угроз безопасности информационных технологий автоматизированных систем критического применения», Федеральный закон РФ № 184-ФЗ «О техническом регулировании», ФЗ РФ (специальный технический регламент) «О безопасности информационных технологий» (проект).

Для создания результирующей таблицы необходимо провести предварительное обследование объекта на предмет общей информационной защищенности, для этого надо максимально точно определить защищаемые активы организации, возможные каналы утечки информации и пути возникновения угроз информационной безопасности организации. При рассмотрении общего подхода по оценки защищенности и перечислению угроз данные были структурированы и представлены в форме итоговой таблицы, путем наложения на которую результатов предварительно-го обследования получаем реальные описания угроз, возможных негативных воздействий на информационную безопасность организации и путей их реализации.

При конкретизации свойств угрозы выполняются операции уточнения, назначения и выбора. Первые две операции подразумевают расширение и конкретизацию свойства применительно к исследуемой системе, третья - предварительный анализ и выбор конкретного свойства с дальнейшим его обобщением. Рассмотрим более подробно модель угроз информационной безопасности АО РПО «Таткоммунэнерго» (Приложение 1):

- первый столбец - «№ п/п» - представляет собой сквозную нумерацию угроз;

- второй столбец - «Наименование угрозы» - выраженное относительно простым техническим языком наименование угрозы, дающее возможность понимания угрозы;

- третий столбец - «способ реализации угрозы» - описывает одной фразой основной предполагаемый способ успешной реализации угрозы;

- четвертый столбец - «используемые уязвимости» - дает смысловое описание предполагаемых уязвимостей системы, используя которые возможно нанести ущерб ИБ путем реализации соответствующей угрозы;

- пятый столбец - «вид защищаемых активов» - здесь называются активы, которые наиболее подвержены воздействию на них факторов, угрожающих ИБ системы, и соответственно эти активы должны защищаться в первую очередь при принятии мер по защите системы от рассматриваемой угрозы;

- шестой столбец - «вид воздействия на активы» - указываются наиболее вероятные воздействия на активы, рассматриваемые в пятом столбце;

- седьмой столбец - «нарушаемые свойства безопасности активов» - указываются те свойства безопасности указанных ранее активов (столбец пять), которые будут нарушаться при реализации угрозы;

- восьмой столбец - «возможные пос-ледствия» - данные вносятся в результате конкретного исследования - последствия для рассматриваемой организации (системы), которое может повлечь за собой успешная реализация данной угрозы;

- девятый столбец - «вероятность реализации угрозы» - данные вносятся в результате конкретного исследования - указывается возможная вероятность реализации данной угрозы в процентном соотношении или в числовом эквиваленте (от 0 до 1 - в сотых долях);

- десятый столбец - «уровень ущерба» - данные вносятся в результате конкретного исследования - отражает максимальные убытки для организации после успешной реализации данной угрозы - выражается в денежном эквиваленте;

- одиннадцатый столбец - «значение (уровень) риска» - данные вносятся в результате конкретного исследования - оценивает уровень риска системе при реализации угрозы - обычно рассматривается пятиуровневая шкала: 1) очень низкий уровень - 1; 2) низкий - 2; 3) средний - 3; 4) высокий - 4; 5) очень высокий - 5; - двенадцатый столбец - «перечень контрмер» - предлагается перечень контрмер по уменьшению вероятности успешной реализации угрозы.

В Приложении 1 рассмотрены пять основных угроз. Не вся информация, обрабатываемая в локально-вычислительной сети (ЛВС) АО РПО «Таткоммунэнерго», относится к информации ограниченного доступа, однако следует учесть, что предложенное практическое применение модели не полное и служит лишь наглядным доказательством ее применимости на практике. Наложение данных предварительного обследования производилось следующим образом:

1) рассмотрены активы АО РПО «Таткоммунэнерго», подлежащие информационной защите, согласно данным столбца № 5;

2) сопоставить выявленные угрозы и каналы их реализации с типовой таблицей, выявить нарушаемые свойства безопасности и сравнить со столбцом № 7;

3) с учетом финансовых, материальных и ресурсных возможностей организации внести изменения и дополнить перечень контрмер.

Полученные данные дают общую картину качеству защищенности (с точки зрения защиты информации) организации. Данные позволяют увидеть уязвимые места и наметить перспективы дальнейшего развития в направлении информационной защищенности. Данные полезны также и для оценки финансовой составляющей комплексной системы защиты.

Результаты проведенного исследования и данные таблицы могут служить основой при написании Концепции информационной безопасности АО РПО «Таткоммунэнерго», стратегического плана (в области защиты информации) развития организации, должностных инструкций отделов, связанных с обеспечением информационной безопасности (и вставки в должностные инструкции прочих работников организации), инструкции пользователя АС и других документов. Также на основе полученных данных должен быть составлен обобщенный портрет нарушителя для внесения конкретики при разработке и реализации плана мероприятий по защите информации.

2.3. Обзор средств защиты информации применяемых для защиты защищаемого помещения на предприятии

Методы и средства обеспечения безопасности информации в автоматизированных информационных системах АО РПО «Таткоммунэнерго» приведены на рис. 4.

Рис. 4. Методы и средства обеспечения

безопасности информации

К методам обеспечения безопасности информации в автоматизированных информационных системах АО РПО «Таткоммунэнерго» относятся препятствие, управление доступом, маскировка, регламентация, принуждение и побуждение. Методы защиты информации представляют собой основу механизмов защиты:

Препятствие - метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.). Управление доступом - метод защиты информации с использованием всех ресурсов автоматизированной информационной системы АО РПО «Таткоммунэнерго». Управление доступом включает следующие функции защиты:

- идентификация специалистов АО РПО «Таткоммунэнерго», персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);

- опознание (установление подлинности) объекта или субъекта по предъявленному им идентификатору;

- проверка полномочий (соответствие дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

- разрешение и создание условий работы в пределах установленного регламента;

- регистрация (протоколирование) обращений к защищаемым ресурсам;

- реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытке несанкционированных действий.

Маскировка - метод защиты информации путем ее криптографического закрытия. Этот метод широко применяется как при обработке, так и при хранении информации. При передаче информации в АО РПО «Таткоммунэнерго» по каналам связи большой протяженности данный метод является единственно надежным. Регламентация - метод защиты информации, создающий по регламенту в АО РПО «Таткоммунэнерго» такие условия автоматизированной обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму.

Принуждение - метод защиты, когда специалисты АО РПО «Таткоммунэнерго» и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Побуждение - метод защиты, побуждающий специалистов и персонал автоматизированной информационной системы АО РПО «Таткоммунэнерго» не разрушать установленные порядки, соблюдая сложившиеся моральные и этические нормы.

Рассмотренные методы обеспечения безопасности в АО РПО «Таткоммунэнерго» реализуются на практике за счет применения различных средств защиты. Все средства защиты информации делятся на формальные и неформальные.

Формальные средства защиты - средства, выполняющие защитные функции строго по заранее предусмотренной процедуре без непосредственного участия человека.

Неформальные средства защиты - средства защиты, которые определяются целенаправленной деятельностью человека, либо регламентируют эту деятельность.

К основным формальным средствам защиты, которые используются в АО РПО «Таткоммунэнерго» для создания механизмов защиты, относятся следующие.

Технические средства реализуются в виде электрических, электромеханических и электронных устройств. Все технические средства делятся на:

- аппаратные, представляющие собой устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с подобной аппаратурой по стандартному интерфейсу;

- физические, представляющие собой автономные устройства и системы, создающие физические препятствия для злоумышленников (замки, решетки, охранная сигнализация и т.д.). Программные средства представляют собой программное обеспечение, специально предназначенное для выполнения функций защиты информации.

Ниже приведены основные неформальные средства защиты.

Организационные средства - это организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации вычислительной техники, аппаратуры телекоммуникаций для обеспечения защиты финансовой информации в АО РПО «Таткоммунэнерго». Организационные мероприятия охватывают все структурные элементы аппаратуры на всех этапах их жизненного цикла (строительство и оборудование помещений АО РПО «Таткоммунэнерго», проектирование АИС, монтаж и наладка оборудования, испытания, эксплуатация и т.д.).

Морально-этические средства реализуются в виде всевозможных норм, которые сложились традиционно или складываются по мере распространения вычислительной техники и средств связи в АО РПО «Таткоммунэнерго». Эти нормы большей частью не являются обязательными как законодательные меры, однако несоблюдение их ведет к утечке информации и нарушению секретности.

Законодательные средства определяются законодательными актами страны, в которых регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушения этих правил.

Для реализации средств безопасности в АО РПО «Таткоммунэнерго» от несанкционированных воздействий, оказываемых на вычислительную технику и каналы связи (прочтение информации в сетевых пакетах, изменение содержания полей данных в сетевых пакетах, подмена отправителя или получателя), наибольшее распространение получили криптографические средства защиты.

Механизм криптографической защиты на сетевом уровне корпоративной вычислительной сети строится на сертифицированных аппаратно-программных комплексах, которые обеспечивают защиту информации.

Механизм цифровой подписи в АО РПО «Таткоммунэнерго» основывается на алгоритмах асимметричного шифрования и включает две процедуры: формирование подписи отправителем и ее опознание (верификацию) получателем. Первая процедура обеспечивает шифрование блока данных или его дополнение криптографической контрольной суммой, причем в обоих случаях используется секретный ключ отправителя. Вторая процедура основывается на использовании общедоступного ключа, знание которого достаточно для опознавания отправителя.

Механизмы контроля доступа осуществляют проверку полномочий объектов АО РПО «Таткоммунэнерго» (программ и пользователей) на доступ к ресурсам сети. В основе контроля доступа к данным лежит система разграничения доступа специалистов АИС АО РПО «Таткоммунэнерго» к защищаемой информации.

Реализация систем разграничения доступа представляет собой программу, которая ложится полностью на операционную систему и должна закрывать при этом все входы в операционную систему, как стандартные, так и всевозможные нестандартные. Запуск системы разграничения доступа осуществляется на стадии загрузки операционной системы, после чего вход в систему и доступ к ресурсам возможны только через систему разграничения доступа. Кроме этого, система разграничения доступа содержит ряд автономных утилит, которые позволяют настраивать систему и управлять процессом разграничения доступа.

Условные схемы расположения сетевого оборужования в АО РПО «Таткоммунэнерго» представлены в Приложениях 2-4.

В АО РПО «Таткоммунэнерго» наибольшую важность представляет бугалтерия и зарплата, все компьютеры имеют доступ в интернет. В практической деятельности в АО РПО «Таткоммунэнерго» применение мер и средств защиты информации включает следующие самостоятельные направления защиты:

1. На входе в организацию находится турникет, охранник (вахта). Ключи почти от всех кабинетов хранятся там же. Кнопки вызова внешней охраны нет. Информации о посещениях хранится на сервере.

2. Антивирус Kaspersky Internet Security.

3. Бухгалтерия на удаленном SQL сервере.

4. Два машрутизатора Cisco 2610, pix firewall 520.

5. Есть серверная, где хранятся все сервера, кроме бухгалтерии.

6. Все компьютеры под паролями, у каждого свой логин/пароль.

7. Сбербанк присылает данные в зашифрованном виде.

8. Документация на сотрудников хранится в сейфе.

9. Ключ от серверной находится у системного администратора и начальнка службы программного обеспечения.

10. В организации имеется мандатный доступ.

11. В организации имеются уничтожители бумаг (2 штуки)

12. Огнетушители порошковые.

13. В организации имеются вибропоглощающие прокладки.

Предприятие отвечает требованиям ФЗ-152 и проходило проверку на соответствие положниям данного закона.

Однако имеются некоторые потенциально уязвимые места:

1. Есть сервер-файлопомойка.

2. Отсутствуют пароли на BIOS и тревогп на вскрытие системного блока.

3. Старое оборудование складируется, физически не уничтожается.

4. Есть свободный доступ уборщицы во все кабинеты, кроме серверной и отдела кадров, куда доступ осуществляется только в присутствии сотрудников.

5. Информации о предыдущих сотрудниках не уничтожается.

6. На стёклах отсутствуют датчики на разбитие, но есть датчики на открытие.

7. Отсутствует система видеонаблюдения за входом.

8. Отсутствует программа для слежения за сотрудниками наподобие SecureTower.

Таким образом, по итогам аналитической главы исследования можно сделать вывод, что направлениями совершенствования обеспечения безопасности информации в АО РПО «Таткоммунэнерго» являются защита информации от несанкционированного доступа, копирования и распространения, защита в каналах связи от утечки по каналам побочных электромагнитных излучений и наводок, защита юридической значимости электронных документов, защита от компьютерных вирусов и других опасных воздействий.