Организационно-распорядительные мероприятия.

Организационная защита - это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз.

Организационная защита обеспечивает:

• охрану, режим, работу с кадрами, с документами;

• использование технических средств безопасности и информационно-аналитическую деятельность по выявлению внутренних и внешних угроз производственной деятельности.

Организационные мероприятия играют существенную роль в создании надежного механизма защиты информации, т.к. возможности несанкционированного использования конфиденциальных сведений в значительной мере обусловливаются не техническими аспектами, а злоумышленными действиями, нерадивостью, небрежностью и халатностью пользователей или персонала защиты. Влияния этих аспектов практически невозможно избежать с помощью технических средств. Для этого необходима совокупность организационно-правовых и организационно-технических мероприятий, которые исключали бы (или, по крайней мере, сводили бы к минимуму) возможность возникновения опасности конфиденциальной информации.

Организационные меры защиты базируются на законодательных и нормативных документах по безопасности информации. Они должны охватывать все основные пути сохранения информационных ресурсов и включать:

- ограничение физического доступа к объектам АСОД и реализацию режимных мер;

- ограничение возможности перехвата информации вследствие существования физических полей;

- ограничение доступа к информационным ресурсам и другим элементам АСОД путем установления правил разграничения доступа, криптографическое закрытие каналов передачи данных, выявление и уничтожение "закладок";

- создание твердых копий важных с точки зрения утраты массивов данных;

- проведение профилактических и других мер от внедрения "вирусов".

В каждом конкретном случае организационные мероприятия носят специфические для данной организации форму и содержание, направленные на обеспечение безопасности информации в конкретных условиях.

Проектирование средств защиты информации. Горизонтальная структура.

Информация, передаваемая по сети, подвержена различным угрозам. Она может быть подвергнута изменению или удалению, что может привести к дезинформации среди сотрудников предприятия, а, следовательно, и к финансовым потерям. Ниже приведены основные типы угроз, которым может быть подвергнута система:

1. несанкционированный доступ к системе;

1. систему аутентификации, идентификации и авторизации, для локальной сети построить на базе Active Directory, управляющую доменом в головном здании. Доступ к данным, разрабатываемой системы осуществляется средствами СУБД;

2. установка антивирусного ПО Kaspersky Antivirus 6.0 и регулярное обновление его баз с локального зеркала, которое обновляет системный администратор при помощи USB flash накопителя. Локальное зеркало организуется при помощи папки открытой для общего доступа.

3. пароли на BIOS длиной не менее 6 символов;

4. опечатывать USB – порты на пользовательских рабочих станциях, в системных блоках не устанавливать CD-ROM.

2. угроза целостности данных;

1. регулярное создание инкрементных резервных копий баз данных, в виде архивов под паролем;

2. для избегания потери данных в случае отказа какого-либо жесткого диска на сервере БД, необходимо использовать RAID массив уровня 1;

3. использование только лицензированного и сертифицированного программного обеспечения.

3. угроза несанкционированного копирования;

1. аудит регистрации в системе, при котором регистрируются события успеха или отказа при входе пользователя в систему. Аудит осуществляется средствами контроллера домена Active Directory (настраивается в политике аудита домена) и средствами СУБД, традиционно для этих целей используются SQL Trace (Profiler), триггеры на DDL, а также анализаторы логов;

2. вести аудит доступа к объектам в частности к каким таблицам обращался пользователь и какие данные изменял.

3. блокировка рабочего стола при отсутствии пользователя (при отсутствии пользователя необходимо перевести компьютер в режим ожидания, то есть, включить screen-saver c опцией ввода пароля при выходе из этого режима);

4. угроза целостности программных средств;

5. угроза выхода из строя активного оборудования;

6. несанкционированный доступ к основному оборудованию (коммутаторы, маршрутизаторы, сервера).

1. физическая защита помещения с целью предотвращения присутствия в нем посторонних лиц (проверка пропусков на вахте, доступ в помещение только определенных лиц);

2. в целях предотвращения НСД к системе сервера и сетевое оборудование необходимо держать изолированно от всех в специально оборудованных помещениях, доступ к которым может предоставляться только ответственным лицам;

3. в нерабочее время (или при отсутствии сотрудников) кабинеты предприятия должны запираться на ключ (ОРМ);

Проектирование средств защиты информации. Вертикальная структура.

Для повышения надёжности защиты информации в сети необходимо защищать её на каждом уровне модели OSI.

На физическом уровне, который отвечает за кодирование передаваемых сигналов в среде передачи данных, то есть за преобразование электрических сигналов в биты данных. В здании предприятия используется экранированная витая пара, что защищает от искажения передаваемой информации и возникновения электрических полей, которые обеспечивают возможность считывания передаваемых данных с помощью специальных устройств. Кабеля не следует прокладывать вблизи окон, для избегания вероятности считывать передаваемую информацию, находясь за пределами здания.

На канальном уровне необходимо предусмотреть привязку к конкретным портам коммутаторов MAC-адресов, что устраняет угрозу подмены рабочего места пользователя. После выполнения такой операции к порту 1 коммутатора будут иметь доступ только компьютеры с адресами сетевых интерфейсов MAC1. Устройства с другими сетевыми картами уже не смогут получить доступ к порту данного коммутатора.

Сетевой уровень отвечает за маршрутизацию и доставку пакета данных адресату. На этом уровне для лучшего функционирования можно произвести сегментацию сети, так как, некоторым пользователям нужен изолированный сегмент сети (к примеру, оператору нашей системы необходима отдельная подсеть, чтобы не допустить пользователей из сети предприятия к ресурсам данной рабочей станции). С помощью маршрутизатора Cisco 1841 сеть была разбита на 3 VLAN сети: на подсеть серверов, подсеть компьютера, работающего с нашей системой и остальную подсеть предприятия.

На транспортном уровне необходимо организовать списки доступа (ACCESS – листы) аналогичные листам доступа на сетевом уровне, однако, здесь можно указывать не адреса сетей, а адреса конкретных сервисов, то есть прописать какому адресу разрешается доступ к услугам сервиса. Такие списки доступа можно настроить на серверах. Обязательно в конце любого ACCESS – листа необходимо указать «Все остальное запретить».

Прикладной уровень

Это уровень сетевой модели, отвечающий за взаимодействие пользовательского приложения и сетью. На данном уровне при доступе к приложению применяется Windows аутентификация на сервере (проверка наличия данного пользователя в списке Active Directory, проверка достоверности имени и пароля) пользователей, и в соответствии с группой, к которой относится пользователь, ему предоставляются соответствующие права на клиенте и на сервере (доступ к соответствующим данным).

Сюда также можно отнести аудит регистрации в системе, при котором регистрируются события успеха или отказа при входе пользователя в систему, а так же аудит доступа к объектам в частности к каким таблицам обращался пользователь и какие данные изменял. Аудит осуществляется средствами СУБД и средствами контроллера домена Active Directory.