Перечень защищаемых ресурсов на объекте информатизации

Перечень защищаемых ресурсов на объекте информатизации

защищаемый безопасность информационный автоматизированный

Перед началом осуществления плана по защите данных в АС, представленной в виде ЛВС, следует выделить информационные ресурсы, нуждающиеся в защите и оценить важность защищаемой информации. Чтобы определить информацию, подлежащую защите в предприятия муниципального подчинения, необходимо обратиться к следующим нормативным документам: ФЗ №149 от 27.07.2006 «Об информации, информационных технологиях и защите информации»; ФЗ №98 от 29.07.2004 «О коммерческой тайне»; ФЗ №152 от 27.07.2006 «О персональных данных»; Указ Президента РФ от 6 марта 1997 г. №188 «Об утверждении перечня сведений конфиденциального характера» (с изменениями на 23 сентября 2005 г.). Данные нормативные документы позволяют выделить следующие виды информации предприятия муниципального подчинения, подлежащей защите: Общедоступная информация - открытая информация об организационно-штатной структуре, распорядительные документы (устав, различные положения и т.д.; 2) Персональные данные - данные руководителей организации и её сотрудников (сведения о судимости, состояние здоровья, опыт работы, профессиональные знания, навыки и умения, деловые связи, вероисповедание, домашний адрес, паспортные данные, семейное положение); 3) Служебная тайна; 4) Коммерческая тайна.

Необходимо обеспечивать комплексную защиту всех информационных служб и коммуникационных каналов между ними. Чтобы определить необходимые механизмы безопасности, нужно разработать программно-аппаратную реализацию всех серверов, рабочих мест, каналов связи информационной системы, а также других коммуникационных систем, особенно связанных с элементами информационной системы.

 

Таблица 1.1. ЛВС финансового отдела, отдела кадров и отдела промышленности

№ пп	Защищаемый ресурс			К ресурсу допущены
	Полное наименование	Условное наименование	Категория доступа
1	Рабочее место начальника финансового отдела	АРМФ1	Конфиденциально	Начальник и заместитель начальника финансового отдела
2	Рабочее место заместителя начальника финансового отдела	АРМФ2	Конфиденциально	Начальник и заместитель начальника финансового отдела
3	Рабочее место финансового отдела	АРМФ3	Конфиденциально	Все сотрудники финансового отдела
4	Рабочее место финансового отдела	АРМФ4	Конфиденциально	Все сотрудники финансового отдела
5	Рабочее место начальника и зам. начальника отдела кадров	АРМК1	Конфиденциально	Начальник и заместитель начальника отдела кадров
6	Рабочее место отдела кадров	АРМК2	Конфиденциально	Все сотрудники конструкторского отдела
7	Рабочее место отдела кадров	АРМК3	Конфиденциально	Все сотрудники отдела кадров
8	Рабочее место начальника отдела промышленности	АРМП1	Конфиденциально	Начальник и заместитель начальника отдела кадров
9	Рабочее место зам. начальника отдела промышленности	АРМП2	Конфиденциально	Начальник и заместитель начальника отдела промышлености
10	Рабочее место отдела промышленности	АРМП3	Конфиденциально	Все сотрудники отдела промышленности
11	Рабочее место отдела промышленности	АРМП4	Конфиденциально	Все сотрудники отдела промышленности
12	Сервер ЛВС	СЛВС	Конфиденциально	Администратор безопасности
13	Сервер БД	СБД	Конфиденциально	Администратор безопасности
14	ОС МСВС 3.0	МСВС	несекретно	Администратор безопасности
13	Межсетевой экран	FW	несекретно	Администратор безопасности

Таблица разграничения доступа

 

Таблица 1.2 - Таблица разграничения доступа в АС предприятия к ресурсам

№ пп	Должностные лица, допущенные к защищаемым ресурсам ОВТ	Защищаемые ресурсы
		Полное наименование ресурса (папки)	Условное наименование ресурса	Разрешенные виды доступа
2	Все сотрудники предприятия	«Документы»	DOCS_ALL	R
3	Начальник и зам. начальника финансового отдела	«Финансовый отдел»	DOCS_FIN	RWDEC
4	Все сотрудники финансового отдела			RWEC
4	Начальник зам. начальника отдела промышленности	«Отдел промышленности»	DOCS_PROM	RWDEC
5	Сотрудники отдела промышленности			RWEC
4	Начальник зам. начальника отдела кадров	«Отдел кадров»	DOCS_KAD	RWDEC
5	Сотрудники отдела кадров			RWEC

 

Классификация ИСПДн

 

Согласно порядку проведения классификации информационных систем персональных данных, введенному Приказом ФСТЭК России, ФСБ России, Мининформсвязи России №55/86/20, нам необходимо установить для ИСПДн следующее:

Определить категорию обрабатываемых персональных данных;

Определить объем персональных данных, обрабатываемых в информационной системе.

Категория ПДн - 2-я (персональные данные позволяют идентифицировать субъекта персональных). Объем обрабатываемых ПДн - более 100000 субъектов. На основании этого можно сделать вывод, что ИСПДн относиться к классу К2 и требует дополнительной защиты. Требования к 2 классу ИСПДн:

идентификация и проверка подлинности пользователя при входе в систему информационной системы по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов.

регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного остановка.

обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды.

 

6. Формирование требований к защищённости АС

 

Подсистема управления доступом: должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов. Подсистема регистрации и учета: должна осуществляться регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения АС.

В параметрах регистрации указываются:

дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;

результат попытки входа: успешная или неуспешная (при НСД);

должен проводиться учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал (учетную карточку). Подсистема обеспечения целостности: должна быть обеспечена целостность программных средств СЗИ НСД, обрабатываемой информации, а также неизменность программной среды.

При этом:

целостность СЗИ НСД проверяется при загрузке системы по наличию имен (идентификаторов) компонент СЗИ;

целостность программной среды обеспечивается отсутствием в АС средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации;

должна осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая контроль доступа в помещения АС посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения АС и хранилище носителей информации, особенно в нерабочее время;

должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест - программ, имитирующих попытки НСД;

должны быть в наличии средства восстановления СЗИ НСД, предусматривающие ведение двух копий программных средств СЗИ НСД и их периодическое обновление, и контроль работоспособности.

 

Финансовый отдел