Реферат: Совершенствование системы информационной безопасности на предприятии ООО "Нива" Уинского района
Курсовой проект
по дисциплине: "Информационная безопасность"
на тему:
«Совершенствование системы информационной безопасности на предприятииООО „Нива“ Уинского района»
Содержание
Введение
Глава 1 Анализ системы информационной безопасности напредприятии
1.1 Характеристика предприятия
1.2 Организационная структура предприятия
1.3 Служба по вопросам защиты информации
1.4 Анализ и характеристика информационных ресурсов предприятия
1.5 Угрозы информационной безопасности характерные дляпредприятия
1.6 Методы и средства защиты информации на предприятии
Глава 2 Совершенствование СИБ
2.1 Недостатки в системе защиты информации
2.2 Цель и задачи системы информационной безопасности
2.3 Мероприятия и средства по совершенствованию системы информационной безопасности
2.4 Эффективность предложенных мероприятий
Глава 3 Модель информационной системы с позициибезопасности
Заключение
Список использованной литературы
Введение
Актуальность проблемы защиты информациисегодня не вызывает сомнений. Успех современной компании и ее развитие в условияхострой конкуренции в значительной степени зависят от применения информационных технологий,а следовательно, от степени обеспечения информационной безопасности.
Любое предприятие располагаетразличными видами информации, представляющими интерес для злоумышленников. Преждевсего, это коммерческие данные, информация, являющаяся интеллектуальной собственностьюпредприятия и конфиденциальные данные.
Поэтому защите информации от неправомерногоовладения ею отводится весьма значительное место. При этом «целями защиты информацииявляются: предотвращение разглашения, утечки и несанкционированного доступа к охраняемымсведениям; предотвращение противоправных действий по уничтожению, модификации, искажению,копированию, блокированию информации; предотвращение других форм незаконного вмешательствав информационные ресурсы и информационные системы; обеспечение правового режимадокументированной информации как объекта собственности; защита конституционных правграждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихсяв информационных системах; сохранение государственной тайны, конфиденциальностидокументированной информации в соответствие с законодательством; обеспечение правсубъектов в информационных процессах и при разработке, производстве и примененииинформационных систем, технологии и средств их обеспечения».
Как видно из этого определенияцелей защиты, информационная безопасность — довольно емкая и многогранная проблема,охватывающая не только определение необходимости защиты информации, но и то, какее защищать, от чего защищать, когда защищать, чем защищать и какой должна бытьэта защита.
Для того чтобы отразить подходорганизации к защите своих информационных активов необходимо разработать политикуинформационной безопасности. Каждое предприятие должно осознать необходимость поддержаниясоответствующего режима безопасности и выделения на эти цели значительных ресурсов.
Политика информационной безопасности — свод документов, в которых рассматриваются вопросы организации,стратегии, методов и процедур в отношении конфиденциальности, целостности и доступностиинформационных ресурсов предприятия. Политика безопасности строится на основе анализарисков — процесса определения угроз безопасности системы и отдельным ее компонентам,определение их характеристик и потенциального ущерба.
Конечная цель разработки политикиинформационной безопасности — обеспечить целостность, доступность и конфиденциальностьдля каждого информационного ресурса.
Обследуемое предприятие ООО«Нива» циркулирует большое количество информации конфиденциального характера,доступ к которой необходимо ограничить. Поэтому, целью будет являться разработкатакой системы по защите информации, при которой угрозы утечки конфиденциальной информациибудут минимальны.
Приемы и способы исследования
При изучении всей структуры предприятияиспользовались следующие методы:
аналитический;
сбор документов;
интервьюирование.
Аналитический метод — основан на анализе собранной информации за конкретныйпериод. Он включает: анализ конкретного рабочего процесса, разделение его на элементы,проектирование рациональных режимов работы оборудования, организации труда и необходимыхзатрат времени по элементам трудового процесса, установление норм на операции.
Сбор (изучение) документооборота- сбор документов осуществлялся на всехэтапах проведения обследования. Документы являются обоснованием и обеспечением создаваемоймодели деятельности и документооборота.
Интервьюирование — важнейший и необходимый метод обследования, только сего помощью возможно разобраться во всех тонкостях применяемых на предприятии технологий.Современное предприятие — сложнейшая система, как оно функционирует, не знает ниодин человек. Интервьюирование являлось наиболее сложной задачей: необходимо найтиконтакт с сотрудником и направить беседу в необходимое для аналитика русло.
На основе собранной информациипроводился анализ информационной безопасности предприятия.
Глава 1. Анализ системы информационной безопасностина предприятии1.1 Характеристика предприятия
Объектом обследования являетсяпредприятие ООО «Нива», входящее в структуру Агрохолдинга ООО «Управляющаякомпания „Ашатли“, г. Пермь. Агрохолдинг состоит из следующих составляющих:
1) Молочное животноводство
1. ООО „Нива“ Уинский район
2. ООО „Горы“ Осинский район
3. ООО „АгроСепыч“ Верещагинскийрайон
2) Переработка молочного сырья
1. ООО „Нива“ Уинскийрайон
3) Растениеводство (кормозаготовка, овощиоткрытого грунта, семеноводство)
4. ООО „Михино“ Ординский район
4) Тепличное направление (овощизакрытого грунта, зелень, розы)
5. ООО „Тепличный комбинат“,г. Чайковский
5) Мясное направление (откорм,убой, переработка)
6. ООО „Очерское мясо“Очерский район
6) Земельное направление (управлениеземлями)
7. ООО „Жемчужина“,г. Пермь
7. ООО „Ашатли Инвест“,г. Пермь
Подробное географическое расположениеобъектов представлено на рис.1.1.
/>
Рисунок 1.1 — Географическое расположениеобъектов агрохолдинга „Ашатли“
Общество с ограниченной ответственностью»Нива" Уинского района Пермской области образовано 1 января 2002 годана базе бывшего подразделения ПСХ «Нива» предприятия «Пермтрансгаз»,именуемое в дальнейшем «Общество». До 21 сентября 2005 года учредителямиОбщества являлись предприятие «Пермтрансгаз» и директор ООО «Нива»Зомарев Иван Дмитриевич, а начиная с 21 сентября 2005 года единственным учредителемстановится ООО «Тулым». Общество создано в соответствии с законодательствомРФ, и действует на основании настоящего Устава и законодательства Российской Федерации.Общество имеет расчетный счет в банке, круглую печать со своим наименованием, эмблему,штампы, бланки и другие реквизиты. Предприятие имеет самостоятельный баланс.
Юридический и почтовый адрес:617530 Пермский край, Уинский район, село Аспа, улица Молодежная-1а.
Землепользование Общества расположенов западной части Уинского района. Административно-хозяйственный центр — с. Аспа.Расстояние до районного центра с. Уинское — 18 километров, до железнодорожной станции города Чернушка — 45 километров, до областного центра город Пермь — 200 километров. Связь с пунктами сдачи сельскохозяйственной продукции и железнодорожной станцией осуществляется автомобильным транспортомпо дороге с асфальтовым покрытием.
Организационная структура представляетсобой совокупность производственных, вспомогательных и обслуживающих подразделений.Основной формой организации труда является производственная бригада, состав которыхи численность зависят от направления цеха, принятой технологии и уровня механизации.
Цели и виды деятельности
Основными видами деятельностиОбщества являются производство молока, мяса, зерна. Хозяйство имеет свой молочныйзавод, где занимается переработкой молока, производя сыр, масло, творог, сметану.
Общество занимается семеноводствомзерновых культур и многолетних трав.
Основной целью деятельности обществаявляется следующие:
извлечение прибыли;
расширение и развитие производства;
выпуск качественной продукции.
Миссии и ценности компании
Миссия общества:
активно развиваемся,
несем инновации в сельское хозяйство,
заботимся о здоровье людей.
Главной целью является развитие,расширение и стремление достичь высших результатов в сельскохозяйственной деятельности,применяя современные технологии, используя научно-технический прогресс, при этомне забывая о здоровье людей. Выпускаемая продукция должна соответствовать всем требованиямкачества и полезности, при этом быть доступной для всех категорий граждан (приемлемыецены).
Ценности компании:
лидерство, ответственность, командность.
Каждый работник должен обладатьлидерскими качествами, умением принимать правильное и быстрое решение, быть ответственным.Ведь только при едином сплоченном коллективе возможно достижение поставленных целей.
1.2 Организационная структура предприятияОрганизационная структура ООО «Нива»(приложение А) сформированная с целью обеспечения достижения целей Общества, построенапо линейно-функциональному признаку. Предприятие осуществляет свою деятельностьв соответствии с действующим законодательством Российской Федерации и Уставом предприятия.
Руководителем является управляющий директор.В подчинении у управляющего директора находятся главный бухгалтер, главный экономист,главный агроном, начальник цеха молочного животноводства, начальник молочного завода,главный инженер и главный строитель. Заместители управляющего директора, контролируютработу управлений, которым подчинены различные отделы. Каждый отдел подчиняетсяначальнику отдела и действует строго в соответствии с пунктом 4 «ОСНОВНЫЕ ПРАВАИ ОБЯЗАННОСТИ РАБОТНИКОВ» правил внутреннего трудового распорядка УК«Ашатли».
1.3 Служба по вопросам защиты информацииКонкретная служба по защите информациина предприятии отсутствует. Поэтому ответственность за защищаемую информацию несетспециалист по управлению персоналом. Данная документация обрабатываются путем строгогоконтроля изъятия и возвращения документов под расписку уполномоченного работника.За информацию, относящуюся к коммерческой тайне, несут ответственность следующиеслужащие предприятия: начальники, бухгалтера, экономисты, инженеры.
1.4 Анализ и характеристика информационных ресурсовпредприятияИсследуемое предприятие содержит следующие информационные ресурсы:
информация, относящаяся к коммерческой тайне:
· заработная плата,
· договоры с поставщиками и покупателями,
· технологии производства;
защищаемая информация:
· личные дела работников,
· трудовые договора,
· личные карты работников,
· содержание регистров бухгалтерскогоучета и внутренней бухгалтерской отчетности,
· прочие разработки и документы для внутреннегопользования;
открытая информация:
· буклеты,
· информация на web-сайте www.ashatli-agro.ru,
· учредительный документ,
· устав,
· прайс-лист продукции.
1.5 Угрозы информационной безопасности характерные дляпредприятия
Угрозы и уязвимости на предприятии
1. Автоматизированное рабочее место сотрудника
Угроза Уязвимости 1. Физический доступ нарушителя к рабочему месту 1. Отсутствие системы контроля доступа сотрудников к чужим рабочим местам 2. Отсутствие системы видеонаблюдения на предприятии 2. Разглашение конфиденциальной информации, хранящейся на рабочем месте сотрудника организации 1. Отсутствие соглашения о неразглашении между работником и работодателем 2. Нечеткая регламентация ответственности сотрудников предприятия 3. Разрушение (повреждение, утрата) конфиденциальной информации при помощи специализированных программ и вирусов 1. Отсутствие ограничения доступа пользователей к сети интернет и к внутренней корпоративной сети2. Конфиденциальная информация
Угроза Уязвимости 1. Физический доступ нарушителя к носителям 1. Неорганизованность контрольно-пропускного режима в организации 2. Отсутствие видеонаблюдения в организации 2. Разглашение конфиденциальной информации, используемой в документах, вынос носителей за пределы контролируемой зоны 1. Отсутствие соглашения о неразглашении конфиденциальной информации 2. Нечеткое распределение ответственности за документы (носители конфиденциальной информации) между сотрудниками организации 3. Несанкционированное копирование, печать и размножение носителей конфиденциальной информации 1. Нечеткая организация конфиденциального документооборота в организации 2. Неконтролируемый доступ сотрудников к копировальной и множительной техникеНа предприятии существует угрозыдоступности, угрозы целостности и угрозы конфиденциальности информации.
1. Угрозами доступности информации являются:
разрушение (уничтожение) информации:вирус, повреждение оборудования, чрезвычайная ситуация (пожар);
отказ поддерживающей инфраструктуры:нарушение работы систем связи, электроэнергии, теплоснабжения, кондиционирования,повреждение помещения.
Мерами предотвращения данных угрозы может являться следующее:
— Установка программы антивируса.
— Осуществление резервного копирования данных на съемные носители длябыстрого восстановления утерянных данных во время системной ошибки.
— Установка аварийных источников бесперебойного питания.
— Подвод электроэнергии не менее от двух независимых линий электропередачи.
— Плановое обслуживание зданий и в целом всей поддерживающей инфраструктуры.
2. Угрозами целостности информации являются:
нарушение целостности со стороныперсонала: ввод неверных данных, несанкционированная модификация информации, кражаинформации, дублирование данных;
потеря информации на жестких носителях;
угрозы целостности баз данных;
угрозы целостности программныхмеханизмов работы предприятия.
Мерами предотвращения данной угрозы может являться следующее:
— Введение и частая смена паролей.
— Использование криптографических средств защиты информации.
3. Угрозами конфиденциальности являются:
кражи оборудования;
делегирование лишних или неиспользуемыхполномочий на носитель с конфиденциальной информацией;
открытие портов;
установка нелицензионного ПО;
злоупотребления полномочиями.
Анализ состояния информационнойбезопасности на предприятии позволяет выявить следующие угрозы:
1. Заражение компьютерными вирусами черезсъёмные носители информации, компьютерную сеть, сеть Интернет;
2. Ошибки штатных сотрудников, т.е. неверныйввод данных или изменение данных;
3. Внутренний отказ информационной системы,т.е. отказ программного или аппаратного обеспечения, повреждение аппаратуры;
4. Угрозы технического характера;
5. Угрозы нетехнического или некомпьютерногохарактера — отсутствие паролей, конфиденциальная информация, связанная с информационнымисистемами хранится на бумажных носителях;
6. Несанкционированный доступ к информации(использование ресурсов без предварительно полученного разрешения). При этом могутсовершаться следующие действия: несанкционированное чтение информации, несанкционированноеизменение информации, а также несанкционированное уничтожение информации;
7. Кража программно-аппаратных средстви т.д.
1.6 Методы и средства защиты информации на предприятииЗащита информации на предприятии осуществляется комплексно и включает всебя меры следующих уровней:
1. Законодательный уровень защитыинформации — это законы, постановленияправительства и указы президента, нормативные акты и стандарты, которыми регламентируютсяправила использования и обработки информации ограниченного доступа, а также вводятсямеры ответственности за нарушения этих правил.
Основными законодательными актами, регулирующими вопросы информационной безопасностипредприятия, являются:
— Гражданский кодекс РФ ст.139;
— Уголовный кодекс гл.28 ст.272, 273,274, 138, 183;
— Закон Российской Федерации «Обинформации, информатизации и защите информации»;
— Закон Российской Федерации «Окоммерческой тайне».
2. Административный уровень информационнойбезопасности.
Политика информационной безопасностипока не утверждена.
3. Организационный уровень защитыинформации.
Организационные меры являютсярешающим звеном формирования и реализации комплексной защите информации. Эти мерыиграют существенную роль в создании надежного механизма защиты информации, т.к.возможности несанкционированного использования конфиденциальных сведений в значительноймере обуславливаются не техническими аспектами, а злоумышленными действиями, небрежностьюпользователей или персонала защиты.
Организационные меры защиты информациина предприятии реализованы следующим образом:
— Организован контроль, соблюдение временногорежима труда и пребывания персонала на территории организации;
— Организована работа с документами идокументированной информацией, т.е. ведется учет, исполнение, возврат, хранениеносителей конфиденциальной информации.
В качестве недостатков данногоуровня защиты можно указать следующие факты.
Несмотря на то, что предприятиепереходит на программу «1С: Предприятие», бухгалтерия предпочитает работатьсо старыми АРМами, реализованными под MS DOS. Это связано с тем, что персонал занеимением навыков работы и времени не очень желает осваивать новый программный продукт.
Небрежность персонала, выраженнаяв недостаточном знании правил защиты конфиденциальной информации, непониманием необходимоститщательного их выполнения. Например, многие важные документы лежат на столах свободно,что может привести к их использованию посторонними лицами.
4. Программно-технические мерызащиты информации — это совокупность аппаратныхи программных средств и мероприятий по их использованию в интересах защиты конфиденциальностиинформации.
На предприятии осуществляетсяуправление доступом путем деления информации по соответствующим должностям и полномочиямдоступа к ней, т.е. спецификация и контроль действий пользователей над информационнымиресурсами организации.
Программно-аппаратные средствазащиты информации:
1. SHDSL-модем с возможностью работатьв режиме маршрутизатора для закрытия сети от проникновения извне.
SHDSL модем ZyXEL предназначендля создания корпоративной сети, в основе которой лежит скоростное двунаправленноесоединение по медным проводам. Используется для объединения двух офисов по однойили по двум медным парам в режиме «точка-точка» с организацией симметричногоскоростного полнодуплексного соединения. Модем имеет возможность работать в режимемоста или маршрутизатора. Встроена система обнаружения и предотвращения вторжений(Intrusion Detection System — IDS).
2. Антивирусная система ESET NOD 32 длязащиты от компьютерных вирусов.
Производится нерегулярное обновлениебаз и сканирование рабочих станций.
3. Встроенный Windows Backup длясоздания архивов.
OS Backup Wizard — программа,предназначенная для быстрого создания и восстановления резервной копии Windows.Она позволяет создать копию всей Windows или только отдельных файлов и папок.
4. Шифрование с ключом 2048 битдля канала vpn (подключение к офису управляющей компании для работы почты и документооборота).
Глава 2. Совершенствование СИБ2.1 Недостатки в системе защиты информации
При анализе проблематики, связаннойс информационной безопасностью, необходимо учитывать специфику данного аспекта безопасности,состоящую в том, что информационная безопасность есть составная часть информационныхтехнологий — области, развивающейся беспрецедентно высокими темпами. Здесь важныне столько отдельные решения (законы, учебные курсы, программно — технические изделия),находящиеся на современном уровне, сколько механизмы генерации новых решений, позволяющиежить в темпе технического прогресса.
Современные технологии программированияне позволяют создавать безошибочные программы, что не способствует быстрому развитиюсредств обеспечения информационной безопасности.
Проанализировав информационнуюбезопасность предприятия можно сделать вывод, что информационной безопасности уделяетсянедостаточное внимание:
— Отсутствие паролей доступа в систему;
— Отсутствие паролей при работе программойс 1С: Предприятие, при изменении данных;
— отсутствует дополнительная защита файлови информации (отсутствует элементарный запрос пароля при открытии или измененииинформации в файлах, не говоря уже о средствах шифрования данных);
— нерегулярное обновление баз программыантивируса и сканирование рабочих станций;
— большое количество документов на бумажныхносителях в основном лежат в папках (иногда и без них) на рабочем столе сотрудника,что позволяет злоумышленникам без труда воспользоваться данного рода информацияхв своих целях;
— не производится регулярное обсуждениевопросов информационной безопасности на предприятии и возникающих проблем в этойобласти;
— не организована регулярная проверкаработоспособности информационных систем предприятия, отладка производится тольколишь в том случае, когда они выходят из строя;
— отсутствие политики информационнойбезопасности;
§ отсутствие системного администратора.
Все вышеперечисленное являетсяочень важными недостатками обеспечения информационной безопасности предприятия.
2.2 Цель и задачи системы информационной безопасности
Безопасность информации- состояние защищенности информационных ресурсов в вычислительных сетях и системахпредприятия от несанкционированного доступа, случайного или преднамеренного вмешательствав нормальное функционирование систем, попыток разрушения её компонентов.
Цели защиты информации:
предотвращение угрозбезопасности предприятия вследствие несанкционированных действий по уничтожению,модификации, искажению, копированию, блокированию информации или иных форм незаконноговмешательства в информационные ресурсы и информационных системах;
сохранение коммерческойтайны, обрабатываемой с использованием средств вычислительной техники;
защита конституционныхправ граждан на сохранение личной тайны и конфиденциальности персональных данных,имеющихся в информационных системах.
Для достижения целей защиты должнообеспечиваться эффективное решение следующих задач:
· защита от вмешательствав процесс функционирования предприятия посторонних лиц;
· защита от несанкционированныхдействий с информационными ресурсами предприятия посторонних лиц и сотрудников,не имеющих соответствующих полномочий;
· обеспечение полноты,достоверности и оперативности информационной поддержки принятия управленческих решенийруководством предприятия;
· обеспечение физическойсохранности технических средств и программного обеспечения предприятия и защитаих от действия техногенных и стихийных источников угроз;
· регистрация событий,влияющих на безопасность информации, обеспечения полной подконтрольности и подотчетностивыполнения всех операций, совершаемых на предприятии;
· своевременное выявление,оценка и прогнозирование источников угроз безопасности информации, причин и условий,способствующих нанесению ущерба интересам субъектов, нарушению нормального функционированияи развития предприятия;
· анализ рисков реализацииугроз безопасности информации и оценка возможного ущерба, предотвращение неприемлемыхпоследствий нарушения безопасности информации предприятия, создание условий дляминимизации и локализации наносимого ущерба;
· обеспечение возможностивосстановления актуального состояния предприятия при нарушении безопасности информациии ликвидации последствий этих нарушений;
· создание и формированиецеленаправленной политики безопасности информации предприятия.
2.3 Мероприятия и средства по совершенствованию системыинформационной безопасности
Для выполнения поставленных целейи решению задач необходимо провести мероприятия на уровнях информационной безопасности.
Административный уровень информационнойбезопасности.
Для формирования системы информационнойбезопасности необходимо разработать и утвердить политику информационной безопасности.
Политика безопасности — это совокупностьзаконов, правил и норм поведения, направленных на защиту информации и ассоциированныхс ней ресурсов.
Следует отметить, что разрабатываемаяполитика должна согласовываться с существующими законами и правилами, относящимисяк организации, т.е. эти законы и правила необходимо выявлять и принимать во вниманиепри разработке политики.
Чем надежнее система, тем строжеи многообразнее должна быть политика безопасности.
В зависимости от сформулированнойполитики можно выбирать конкретные механизмы, обеспечивающие безопасность системы.
Организационный уровень защитыинформации.
Исходя из недостатков, описанныхв предыдущем разделе, можно предложить следующие мероприятия по улучшению защитыинформации:
— Организация работ по обучению персоналанавыкам работы с новыми программными продуктами при участии квалифицированных специалистов;
— Разработка необходимых мероприятийнаправленных на совершенствовании системы экономической, социальной и информационнойбезопасности предприятия.
— Провести инструктаж для того, чтобы каждый сотрудник осознал всю важностьи конфиденциальность вверенной ему информации, т.к., как правило, причиной разглашенияконфиденциальной информации является недостаточное знание сотрудниками правил защитыкоммерческих секретов и непонимания (или недопонимания) необходимости их тщательногособлюдения.
— Строгий контроль соблюдения сотрудникамиправил работы с конфиденциальной информацией;
— Контроль соблюдения правил хранениярабочей документации сотрудников предприятия;
— Плановое проведение собраний, семинаров,обсуждений по вопросам информационной безопасности предприятия;
— Регулярная (плановая) проверка и обслуживаниевсех информационных систем и информационной инфраструктуры на работоспособность.
— Назначить системного администраторана постоянной основе.
Программно-технические мерызащиты информации.
Программно-технические средстваявляются одними из важнейших компонентов в реализации информационной защите предприятия,поэтому для повышения уровня защиты информации необходимо ввести и применить следующиемероприятия:
— Введение паролей пользователей;
Для регулирования доступа пользователейк информационным ресурсам предприятия необходимо ввести список пользователей, которыебудут входить в систему под своим логином. С помощью ОС Windows Server 2003 Std,установленной на сервере, можно создать список пользователей с соответствующимипаролями. Пароли раздать работникам с соответствующим инструктажем их использования.Также необходимо ввести срок действия пароля, по истечению которого пользователюбудет предложено поменять пароль. Ограничить число попыток входа в систему с невернымпаролем (например, до трех).
— Введение запроса паролей в программе1С: Предприятии при работе с БД, при изменении данных. Это можно выполнить с помощьюпрограммных средств ПК и программы.
— Разграничение доступа к файлам, каталогам, дискам.
Разграничение доступа к файлам и каталогам будет осуществляться системнымадминистратором, который разрешит доступ к соответствующим дискам, папкам и файламдля каждого пользователя конкретно.
— Регулярное сканирование рабочих станций и обновление баз антивируснойпрограммы.
Позволит обнаруживать и нейтрализоватьвредоносные программы, ликвидировать причины заражений. Необходимо выполнить работыпо установке, настройке и обеспечению функционирования средств и систем антивируснойзащиты.
Для этого необходимо настроитьпрограмму антивируса на регулярное сканирование ПК и регулярное обновление баз ссервера.
— Установка на компьютер-сервер сетевогоэкрана Agnitum Outpost FireWall, который блокирует атаки из сети Интернет.
Преимущества использования сетевогоэкрана Agnitum Outpost FireWall:
¾ контролирует соединения компьютерас другими, блокируя хакеров и предотвращая несанкционированный внешний и внутреннийдоступ к сети.
¾ локальная безопасность отслеживаетповедение программ и их взаимодействие для обеспечения проактивной защиты от несанкционированнойактивности, блокируя троянцев, шпионские программы и все изощренные хакерские методикивзлома компьютеров и кражи личных данных.
¾ эффективный сканер вредоносных программавтоматически обнаруживает и изолирует или удаляет вирусы, шпионские программы идругое вредоносное ПО.
¾ встроенный антиспам.
— Анализ защищенности объектов вычислительной сети
Возможно использование программы «Сканер-ВС», предназначеннойдля анализа защищенности вычислительных сетей от внутренних и внешних угроз.
«Сканер-ВС» выполняет следующие функции:
Анализ защищенности сети или отдельных ее сегментов от различных внешнихи внутренних угроз
Аудит защищенности сети
Инвентаризация сетевых ресурсов — сбор информации об отдельных узлах сети(зарегистрированные пользователи, рабочая группа/домен, IP-адрес, сервисы и многоедругое)
Максимальное снижение вероятности успешной атаки на защищаемые объекты
Тестирование сети на устойчивость к взлому с учетом выявленных и устраненныхуязвимостей
Основные возможности системы:
¾ обеспечение загрузки доверенной среды на основе ОС МСВС
¾ автоматическое определение сетевого оборудования, подключенного квычислительной сети
¾ поиск остаточной информации на накопителях, подключенных к узлам сети(поддерживаются различные кодировки)
¾ сетевой и локальный аудит паролей
¾ инвентаризация ресурсов компьютерной сети (узлов, портов, сервисов)
¾ поиск уязвимостей обнаруженных сервисов, проверка возможности осуществлениятиповых DoS-атак
¾ анализ сетевого трафика (в т. ч. в коммутируемых сетях), извлечениеиз трафика парольной информации для множества протоколов
— Программа защиты от спама.
Обеспечение защиты от спама пользователейи технической поддержке средств, осуществляющих данную защиту. Защита осуществляетсяпутем маркировки нежелательных почтовых сообщений приходящих на почтовый ящик пользователя.
Возможно использование программыantispam СПАМОЕД, программа позволяющая блокировать спам на компьютере. Spamoed- это ПО для борьбы со спамом, обеспечивающее фильтрацию почты. Основные принципыработы программы заключается в том, что программа Spamoed может как сама удалятьненужную пользователю электронную почту, так и вкупе с TheBat, Outlook и другимипочтовыми клиентами; а также работать совместно с небольшими (до 50 почтовых ящиков)почтовыми серверами.
— Применениеисточников бесперебойного питания;
Наиболее надежным средством предотвращения потерь информации при кратковременномотключении электроэнергии в настоящее время является установка источников бесперебойногопитания (UPS). Различные по своим техническим и потребительским характеристикам,подобные устройства могут обеспечить питание всей локальной сети или отдельногокомпьютера в течение какого-то промежутка времени, достаточного для восстановленияподачи напряжения или для сохранения информации на магнитные носители. В противномслучае используется следующая функция подобных устройств — компьютер получает сигнал,что UPS перешел на работу от собственных аккумуляторов и время такой автономнойработы ограничено. Тогда компьютер выполняет действия по корректному завершениювсех выполняющихся программ и отключается (команда SHUTDOWN). Большинство источниковбесперебойного питания одновременно выполняет функции и стабилизатора напряжения,является дополнительной защитой от скачков напряжения в сети. Многие современныесетевые устройства — серверы, концентраторы, мосты и т.д. — оснащены собственнымидублированными системами электропитания.
— Криптографическое преобразование информации.
Криптографическаязащита информации предоставляется с целью обеспечения режима конфиденциальностии целостности информации при ее передачи по каналам передачи данных.
Помогитевыбрать конкретное программное средство!!! Ну надо шифрование какое-либоприменять или необязательно — запуталась я, ваще запуталась…вот в этом главный вопрос!)
— Протоколирование и аудит.
Протоколирование и аудит является неотъемлемой частью обеспечения информационнойбезопасности. Эти понятия подразумевают сбор, накопление и анализ событий происходящихв информационной системе в реальном времени.
Реализация протоколирования иаудита решает следующие задачи:
· обеспечение подотчетности пользователей и администраторов;
· обеспечение возможности реконструкции последовательности событий;
· обнаружение попыток нарушений информационной безопасности;
· предоставление информации для выявления и анализа проблем.
При протоколировании события рекомендуется записывать, по крайней мере,следующую информацию:
¾ дата и время события;
¾ уникальный идентификатор пользователя — инициатора действия;
¾ тип события;
¾ результат действия (успех или неудача);
¾ источник запроса (например, имя терминала);
¾ имена затронутых объектов (например, открываемых или удаляемых файлов);
¾ описание изменений, внесенных в базы данных защиты (например, новаяметка безопасности объекта).
2.4 Эффективность предложенных мероприятий
Эффективность системы ИБ и труда администраторовсредств информационной безопасности будет чрезвычайно низкой при отсутствии средствсбора, анализа, хранения информации о состоянии системы ИБ, централизованного управлениявсеми ее составляющими. Дело в том, что каждое средство защиты реализует некоторуюсоставляющую политики безопасности, которая на уровне подсистем задается наборомпараметров и требований. Политике ИБ должны соответствовать не только каждая подсистемаили средство защиты, но и система ИБ в целом. Отслеживание работоспособности компонентовсистемы, примененных правил и других событий в системе ИБ требует наличия средствмониторинга и управления. Для проведения анализа собираемых данных, построения отчетови принятия управляющих решений необходимы средства мониторинга, аудита и генерацииотчетов.
В рамках курсового проекта былапроанализирована информационная безопасность предприятия, были предложены мероприятияпо ее улучшению. Реализация мероприятий позволит:
— Разграничить права доступа в систему.
— Повысить уровень защищенности информациикаждого пользователя в отдельности и системы в целом.
— Разработать и внедрить политику информационнойбезопасности, которая будет направлена на защиту информации и ассоциированных сней ресурсов.
— Уменьшить количество спама.
— Отражать вредоносные атаки через сеть.
— Повысить уровень защиты рабочих станций.
Глава 3. Модель информационной системы с позиции безопасности
Модельинформационной безопасности предприятия представлена на рисунке 3.1.
/>
Рисунок 3.1 — Диаграмма уровняА-0 «Обеспечение информационной безопасности»
Информация, поступающая на предприятиепроходит несколько стадий обработки на наличие программных, сетевых и физическихугроз безопасности, прежде чем поступит в использование сотрудниками организации.
За безопасностью следит главнымобразом системный администратор, который настраивает все программные и аппаратныесредства для защиты предприятия. Все это регламентируется регламентом предприятия,политикой безопасности и должностными инструкциями. В результате сотрудники получаютбезопасную информацию, также формируется отчет о событиях обработки.
Декомпозиция блока «Обеспечениеинформационной безопасности» представлена анна рисунке 3.2.
/>
Рисунок 3.2 — Декомпозиция диаграммыуровня А-0
«Обеспечение информационнойбезопасности»
Поступающая информация проходитстадию анализа, где выявляются угрозы, которые она может нанести, далее применяютсясредства для устранения этих угроз и происходит распределение информации по уровнямзащиты (административный, программно-технический, законодательный, организационный).Далее применяются средства для дальнейшей защиты информации. Все это в соответствиис нормативными и правовыми актами, действующими на предприятии.
DFD-диаграмма представлена нарисунке 3.3.
/>
Рисунок 3.3 — Диаграмма DFD уровняА-1 «Анализ информации»
На данной диаграмме представленпроцесс работы пользователя и системы.
Заключение
В процессе выполнения курсовогопроекта был проведен анализ средств информационной безопасности предприятия ООО«Нива», информационных ресурсов предприятия, анализ угроз ИБ, и были выявленысоответствующие недостатки.
В соответствии с выявленными недостаткамибыли предложены меры их устранения, в результате выполнения которых предприятиепозволит повысить эффективность средств защиты и сократит риск потери и искаженияинформации. Следует обратить внимание на то, что только при совместном взаимодействииперсонала, программно-аппаратных средств и средств защиты информации возможна эффективностьданных мероприятий.
Обследуемое предприятие ООО«Нива» циркулирует большим количеством информации конфиденциального характера,доступ к которой необходимо ограничить. Поэтому, целью являлась разработка такойсистемы по защите информации, при которой угрозы утечки конфиденциальной информациибыли бы минимальны.
В результате анализа была построенамодель информационной системы с позиции безопасности.
В заключение хотелось бы подчеркнуть,что никакие аппаратные, программные и любые другие решения не смогут гарантироватьабсолютную надежность и безопасность данных в компьютерных сетях. В то же времясвести риск потерь к минимуму возможно лишь при комплексном подходе к вопросам безопасности.
Список использованной литературы
1. Галатенко, В.А. Основы информационной безопасности. — М.: Интуит, 2003.
2. Доктрина информационной безопасности от 09.09.2000 г.
3. Завгородний, В.И. Комплексная защита информации в компьютерных системах.- М.: Логос, 2001.
4. Зегжда, Д.П., Ивашко, А.М. Основы безопасности информационных систем. — М.:Интуит, 2006.
5. Стандарты информационной безопасности.
6. Федеральный закон Российской Федерации от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации».
7. http://ru. wikipedia.org/wiki/
8. http://z-oleg.com/
9. http://www.infosecurity.ru/