Проектирование системы информационной безопасности (стр. 7 из 15)

Уровень указанных угроз в значительной мере снижается за счет повышения квалификации обслуживающего персонала и пользователей, а также надежности аппаратно-программных и технических средств.

Однако наиболее опасным источником угроз информации являются преднамеренные действия злоумышленников. Спектр их противоправных действий достаточно широк, а итогом их вмешательства в процесс взаимодействия пользователей сети является разглашение, фальсификация, незаконное тиражирование или уничтожение конфиденциальной информации.

Стандартность архитектурных принципов построения оборудования и программ обеспечивает сравнительно легкий доступ профессионала к информации, находящейся в персональном компьютере. Ограничение доступа к ПК путем введения кодов не гарантирует стопроцентную защиту информации.

Угрозы, преднамеренно создаваемые злоумышленником или группой лиц (умышленные угрозы), заслуживают более детального анализа, так как часто носят изощренный характер и приводят к тяжелым последствиям

Обычно выделяют три основных вида угроз безопасности: угрозы раскрытия, целостности и отказа в обслуживании. Угроза раскрытия заключается в том, что информация становится известной тому, кому не следует ее знать. В терминах компьютерной безопасности угроза раскрытия имеет место всегда, когда получен доступ к некоторой конфиденциальной информации, хранящейся в вычислительной системе или передаваемой от одной системы к другой.

Нарушение конфиденциальности (раскрытие) информации - это не только несанкционированное чтение документов или электронной почты. Прежде всего, это перехват и расшифровка сетевых пакетов (как известно, информация в сети передается пакетами), другими словами, анализ трафика.

2.3.3 Определение каналов несанкционированного доступа

Способ несанкционированного доступа (способ НСД) - также совокупность приемов и порядок действий, но с целью получения охраняемых сведений незаконным противоправным путем и обеспечения возможности воздействовать на эту информацию (например, подменить, уничтожить и т. п.).

Существующие в настоящее время способы НСД к информации многообразны: применение специальных технических устройств, использование недостатков вычислительных систем и получение секретных сведений о защищаемых данных.

Утечка информации через технические средства может происходить, за счет:

· микрофонного эффекта элементов электронных схем;

· магнитной составляющей поля электронных схем и устройств различного назначения и исполнения;

· электромагнитного излучения низкой и высокой частоты;

· возникновения паразитной генерации усилителей различного назначения;

· наводок по цепям питания электронных систем;

· наводок по цепям заземления электронных систем;

· взаимного влияния проводов и линий связи;

· высокочастотного навязывания мощных радиоэлектронных средств и систем;

Каждый из этих каналов будет иметь структуру в зависимости от условий расположения и исполнения.

Каналы утечки информации и способы несанкционированного доступа к источникам конфиденциальной информации объективно взаимосвязаны. Каждому каналу соответствует определенный способ НСД.

Вариант взаимосвязи способов несанкционированного доступа к объектам и источникам охраняемой информации и каналов утечки конфиденциальной информации приведен в табл. 10.

Таблица 10

Способнесанкционированногодоступа	Тип канала утечки информации
	Визуальный	Акустический	Электромагнитный(магнитный,электрический)	Материально-вещественные
Подслушивание	+	+
Визуальное наблюдение	+
Хищение	+	+
Копирование	+	+
Подделка	+	+
Незаконное подключение	+	+
Перехват	+	+
Фотографирование	+
Итого по виду канала	2	3	6	3

Способы НСД к проводным линиям связи.

Наиболее часто для передачи информации применяются телефонные линии в качестве проводных линий связи. Это связано с тем, что большинство компьютеров используют для передачи данных модемы, подключенные к телефонной линии.

Общепринятые способы подслушивания линии, связывающей компьютеры:

· непосредственное подключение к телефонной линии:

· контактное - последовательное или параллельное (прямо на АТС или где-нибудь на линии между телефонным аппаратом и АТС);

· бесконтактное (индукционное) подключение к телефонной линии;

· помещение радиоретранслятора («жучка») на телефонной линии:

· последовательное включение;

2.3.4 Оценка состояния информационной безопасности в ООО магазин «Стиль»

Завершающим этапом предпроектного обследования является оценка состояния информационной безопасности в организации.

Решение данной задачи основывается на анализе сведений, полученных на этапе информационного обследования ИС.

Целью этапа является анализ соответствия уровня нормативного и организационно-технического обеспечения информационной безопасности объекта аудита установленным требованиям руководящих документов Гостехкомиссии при Президенте РФ, типовым требованиям международных стандартов ISO и соответствующим требованиям компании-заказчика. К первой области также относятся работы, проводимые на основе анализа рисков, инструментальные исследования (исследование элементов инфраструктуры компьютерной сети и корпоративной информационной системы на наличие уязвимостей, исследование защищенности точек доступа в Internet). Данный комплекс работ также включает в себя анализ документооборота, который, в свою очередь, можно выделить и как самостоятельное направление.

Рассмотрим инструментальный анализ защищённости АС, направленный на выявление и устранение уязвимостей программно-аппаратного обеспечения системы.

Инструментальный анализ представляет собой чаще всего сбор информации о состоянии системы сетевой защиты с помощью специального программного обеспечения и специальных методов. Под состоянием системы сетевой защиты понимаются лишь те параметры и настройки, использование которых помогает злоумышленнику проникнуть в сети и нанести урон предприятию. В процессе проведения инструментального анализа защищенности моделируется как можно большее количество таких сетевых атак, которые может выполнить злоумышленник.

Результатом является информация обо всех уязвимостях, степени их критичности и методах устранения, сведения о широкодоступной информации (информации, доступной любому потенциальному нарушителю) сети заказчика.

По завершении инструментального анализа выдаются рекомендации по модернизации системы сетевой защиты, которые позволяют устранить опасные уязвимости и тем самым повысить уровень защищенности ИС от действий злоумышленника при минимальных затратах на ИБ.

Результаты тестирования на соответствие ГОСТ Р ИСО/МЭК 17799–2005 представлены на рис. 6.

Рис. 6. Определение степени соответствия требованиям стандарта

Информация, полученная по результатам комплексной оценки, является отправной точкой для принятия руководителями управленческих решений, способствующих повышению защищенности информационных ресурсов.

2.4 Определение класса защищенности системы и показателей защищенности от несанкционированного доступа

Коммерческая тайна — режим конфиденциальности информации, позволяющий её обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду. Защищаемая информация на предприятии не может быть отнесена к разряду коммерческой тайны. Исходя из этого, можно определить четвертый класс защищенности системы.

2.4.1 Определение требований к информационной безопасности

Данные бухгалтерского учета в виде всевозможных отчетов сохраняются длительное время, причем как в электронном, так и бумажном виде. Информация о состоянии финансово-хозяйственной деятельности предприятия в текущем периоде может быть получена только при наличии аналогичной информации за предшествующий период, поэтому потеря, порча и модификация этой информации может причинить немалый вред компании. В рамках информационной безопасности для нормального функционирования механизмов бухгалтерского учета необходимо обеспечить целостность и полноту базы данных, предотвращение потери и некорректного изменения информации в базе данных.

Каждый сбой работы базы данных − это не только моральный ущерб для работников предприятия и сетевых администраторов. По мере развития технологий электронных платежей, «безбумажного» документооборота и серьезный сбой локальных сетей может парализовать работу компании, что приведет к ощутимым убыткам. При этом защита данных в компьютерных сетях становится одной из самых острых проблем.