Дипломная работа: Автоматизация приема заявок на ремонт и модернизацию ПК в АО НПО "Турботехника"
Внимание! Если размещение файла нарушает Ваши авторские права, то обязательно сообщите нам
68
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
В нормативно-правовую базу включены группы документов, которые
учитываются при соблюдении безопасности информации:
I. Международное правовое обеспечение, составленное
международными нормативными актами, которые были ратифицированы
РФ, и международные договоры, которые были инициированы РФ.
II. Международное нормативно-техническое обеспечение, которое
содержит международные Регламенты, Стандарты, Рекомендации в
информационной сфере и в сфере информационной безопасности.
III. Государственное правовое обеспечение, содержащее нормативные
акты РФ (Конституция РФ, Федеральные законы. Указы Президента РФ),
подзаконные акты (Постановления и Распоряжения Правительства России,
нормативные акты уполномоченных федеральных органов государственной
власти), подзаконные и нормативные акты субъектов РФ.
IV. Государственное нормативно-техническое обеспечение, в состав
которого включены действующие на территории России технические
стандарты, регламенты (государственные, отраслевые), руководящие
документы, подзаконные акты уполномоченных федеральных органов
государственной власти преимущественно нормативно-технического
характера.
Документы, которые включены в I группу (международное правовое
обеспечение) имеют преимущественное право при обеспечении
информационной безопасности в сетях связи 3-го поколения, если другое не
предусмотрено российским законодательством. В эту группу включены:
a. Европейская Конвенция о защите прав человека и основных
свобод (1996 г.);
b. Всеобщая декларация прав человека, которая была утверждена и
провозглашена Генеральной Ассамблеей ООН (1948 г.);
c. Пакт о политических и гражданских правах (1976 г.);
d. Европейская Конвенция от 28.01.1981 г. об охране личности по
отношению к автоматизированной обработке персональных данных;
69
e. Директива Европейского Парламента и Совета Европейского
Союза 95/46/ЕС об обработке персональных данных;
f. Директива Европейского Парламента и Совета Европейского
Союза 97/66/ЕС об обработке персональных данных;
А также другие международные договорённости, которые признала
РФ.
Перечисленные документы затрагивают некоторые важные и
свойственные российскому национальному законодательству вопросы, такие
как:
общие цели безопасности;
требования к системе безопасности;
требования управления безопасностью.
требования, которые касаются управления доступом;
оценка угроз и рисков, которые связаны с какой-либо угрозой,
идентификация ситуации и привлечённых сторон;
определение механизмов для выявления и противодействия
возможным угрозам и восстановления нормальной работы информационной
системы;
механизмы анонимности: временные идентификаторы с
симметричным ключом; секретность подлинности с использованием
асимметричного ключа; анонимный доступ;
механизмы аутентификации: с симметричным ключом, с
асимметричным ключом, с "нулевым знанием";
механизмы конфиденциальности: блочное шифрование, потоковое
шифрование;
механизмы для обеспечения целостности: шифрование с
добавлением избыточности, симметричный ключ, асимметричный ключ;
не криптографические механизмы безопасности: регистрация
пользователя, верификация пользователя, подсчёт вызовов;
70
механизмы для управления безопасностью: управление версиями,
распределение ключей;
механизмы неотказуемости: цифровая подпись;
и множество других вопросов.
К основным организационным мерам можно отнести:
усовершенствование политик безопасности, разработка документов,
конкретизирующих меры по соблюдению безопасности информации по
определенным вопросам и угрозам. [21-22]
Документированная политика ИБ обязана заявлять о приверженности
руководства и определять подход к управлению ИБ в компании.
Политика ИБ должна быть доведена к сведению всех пользователей
компании в актуальной, доступной и понятной форме читателям, для
которых она предназначена. [24]
Политика ИБ обязана представлять собой элемент более общей
документированной политики.
Следовательно, основной организационной мерой должна считаться
разработка политики ИБ, ознакомление с ее положениями всех сотрудников
и строгое их соблюдение.
Следовательно, основываясь на необходимых мерах по защите
информации в АО НПО «Турботехника», следует определить состав
разрабатываемой политики безопасности. [33-37]
Политика безопасности должна включать в себя документы,
регламентирующие работу всех необходимых подсистем безопасности.
Опираясь на данные подсистемы были разработаны ключевые
требования, касающиеся обеспечения ИБ в АО НПО «Турботехника»,
охватывающие такие частные документы как:
1. Правила парольной защиты;
2. Регламент использования системы отдела техобслуживания;
3. Правила защиты от вирусов и злонамеренного ПО.
71
Также для определения правил по работе с персоналом при приёме на
работу и увольнении, и в случае возникновения нештатных ситуаций
разработаны инструкции по работе с персоналом, в которые включены:
1. Инструкция по приёму на работу и допуску новых сотрудников к
работе в АС и наделению их полномочиями, которые необходимы для
доступа к ресурсам системы.
2. Инструкция по увольнению работников и лишения их полномочия
доступа в систему.
3. Инструкция по действиям различных категорий персонала, в том
числе сотрудников отдела безопасности информации, по ликвидации
последствий чрезвычайных (аварийных или нештатных) ситуаций, в случае
их возникновения.
В таблице 6 представлена таблица разграничения прав пользователя.
Таблица 6
Разграничение прав пользователей
Группы
пользова
телей
Общая
папка
«ПО»
Общая
папка
«Пользова
тели»
Модуль
«ТЗ»
Модуль
«Проект»
Доступ в
Internet
Менеджер
проектов
Чтение/со
здание
Полный
Полный
Полный
Не
ограниче
н
Менеджер
по
продажам
Чтение/со
здание/у
даление
Чтение
Чтение
Полный
Ограниче
н
Дизайнер
Чтение
Чтение/созд
ание
Полный
Нет
Нет
Верстальщ
ик
Чтение
Чтение/созд
ание/
удаление
Полный
Чтение
Ограниче
н
Программи
ст
Чтение/со
здание/у
даление
Чтение/созд
ание/
удаление
Полный
Полный
Не
ограниче
н
В АО НПО «Турботехника» уже используются средства инженерно-
технической защиты, к примеру, система охранной сигнализации. К
инженерно-техническим мерам также относятся система контроля и
управления доступом. Так как информационные активы в основном
представлены файлами на жестких дисках и бумажными документами, то
72
будет считаться целесообразным внедрение системы защищённого
электронного документооборота [25].
В качестве системы, которая обеспечит возможность построения
безопасного обмена документами внутри компании одной из самых
популярных является система ViPNet CUSTOM.
ViPNet CUSTOM служит, чтобы организовать защищённое
взаимодействие клиент-клиент, тогда как основной частью VPN -решений
других производителей обеспечивается только соединение уровня сервер-
сервер либо сервер-клиент. Этим обеспечивается возможность реализации
любой необходимой политики разграничения доступа в пределах всей
защищённой сети и снижения нагрузки на VPN -серверы, так как при
взаимодействии клиент-клиент VPN -сервер не используется в процессах
шифрования трафика между такими клиентами. [10]
Технология ViPNet позволяет реализовывать функции брандмауэра для
открытых и защищённых соединений, почтовых служб, IM-клиента,
назначение виртуальных адресов видимости и систем обнаружения
вторжений (IDS).
Для организации сети ViPNet необходимо на рабочие компьютеры
установить ПО ViPNet. При этом отпадает необходимость в приобретении
дополнительного оборудования и в изменении существующей топологии
сети (рисунок 10).
Протокол, используемый в технологии ViPNet, может обеспечить
защищённую передачу данных через любые каналы связи, при помощи
различных устройств NAT/PAT — даже, когда Интернет-провайдер
стремится создать помехи для установления соединения посредством запрета
VoIP или при помощи авторизующих соединений IPSec.
Сетевой администратор, используя ViPNetCUSTOM, обладает всеми
необходимыми средствами для реализации задачи построения защищённой
сети. Неограниченная масштабируемость решения позволяет обеспечить
быструю и надёжную защиту как локальной сети небольшой компании,
Источник: https://baza.diplomsite.ru/previewfile/1930