Побудова комплексної системи захисту інформації

своєчасне виявлення та знешкодження загроз для ресурсів АСВТЗІ з врахуванням її архітектури, причин та умов, які спричиняють або можуть привести до порушення її функціонування та розвитку;

створення механізму та умов оперативного реагування на загрози для безпеки інформації, інші прояви негативних тенденцій у функціонуванні АСВТЗІ;

керування засобами захисту інформації, керування доступом користувачів до ресурсів АСВТЗІ, контроль за їхньою роботою з боку СЗІ, оперативне сповіщення про спроби НСД;

реєстрація, збір, зберігання, обробка даних про всі події в системі, які мають відношення до безпеки інформації;

створення умов для максимально можливої локалізації джерел загроз, що виникають внаслідок неправомірних дій фізичних та юридичних осіб, впливу зовнішнього середовища та інших чинників негативного впливу на безпеку функціонування АСВТЗІ.

 

Об’єкти захисту

Виходячи з рекомендацій НД ТЗІ 1.4-001-2000, об’єктами захисту АСВТЗІ є:

відомості, віднесені до інформації з обмеженим доступом, обробка яких здійснюється в АСВТЗІ і які можуть знаходитись на паперових, магнітних та інших носіях;

інформаційні масиви та бази даних, програмне забезпечення, інші інформаційні ресурси;

обладнання АСВТЗІ та інші матеріальні ресурси, включаючи технічні засоби та системи, що не задіяні в обробці інформації, але знаходяться у контрольованій зоні, носії інформації, процеси і технології її обробки;

засоби та системи фізичної охорони матеріальних та інформаційних ресурсів, організаційні заходи захисту;

користувачі (персонал) АСВТЗІ та власники інформації.

Шляхи забезпечення безпеки інформації

Забезпечення безпеки інформації в АСВТЗІ досягається:

організацією та впровадженням системи допуску посадових осіб (користувачів) до роботи з інформацією;

організацією обліку, зберігання, обігу інформації та її носіїв;

здійсненням контролю за забезпеченням захисту інформації, яка обробляється в АСВТЗІ, та за збереженням носіїв інформації;

використанням програмно-технічних засобів комплексної системи захисту інформації.

Класифікація інформації, що обробляється в АСВТЗІ

Склад інформації в АСВТЗІ

АСВТЗІ призначена для роботи з інформацією з обмеженим доступом, яка представлена у вигляді текстових документів, електронних таблиць.

До інформації АСВТЗІ відносяться також загальне, функціональне та спеціальне програмне забезпечення АСВТЗІ та дані захисту.

Класифікація інформації за режимом доступу та правовим режимом

За режимом доступу інформація, що обробляється в АСВТЗІ, поділяється на відкриту інформацію та інформацію з обмеженим доступом.

Інформація з обмеженим доступом, яка обробляється в АСВТЗІ і за своїм правовим режимом поділяється на такі категорії:

конфіденційна інформація;

цілком конфіденційна інформація.

В АСВТЗІ до інформації з обмеженим доступом відноситься інформація, яка включена до „Переліку відомостей, що відносяться до конфіденційної інформації.

В АСВТЗІ до відкритої інформації відносяться всі види програмного забезпечення та інформація, яка не визначена відповідними документами як конфіденційна.

Класифікація інформації за типом представлення в АСВТЗІ

У таблиці 2.3.1 для кожної з визначених у п. 2.2 категорій інформації вказано тип її логічного та фізичного представлення.

Таблиця 2.3.1

 

Опис компонентів АСВТЗІ та технології оброки інформації

Компоненти АСВТЗІ

До компонентів АСВТЗІ відносяться такі:

технічне забезпечення (ПЕОМ та технічні засоби захисту);

програмне забезпечення;

дані;

користувачі АСВТЗІ та технічний персонал.

Технічне забезпечення

АСВТЗІ побудовано на базі одного автономного комп’ютера.

Склад технічних засобів АСВТЗІ наведено в Паспорті формулярі АСВТЗІ.

Програмне забезпечення

Програмне забезпечення АСВТЗІ поділяється на загальне, функціональне та спеціальне.

Перелік програмного забезпечення наведено в Паспорті формулярі АСВТЗІ

Дані

За місцем зберігання дані АСВТЗІ поділяються на два види: дані на магнітних та інших носіях та дані на паперових носіях.

Дані на магнітних та інших носіях

Серед даних, що зберігаються на магнітних та інших носіях, розрізняють дані постійного та тимчасового зберігання.

Дані на паперових носіях

До даних, що зберігаються на паперових носіях, відносяться:

друковані документи;

документація на АСВТЗІ:

Технічне завдання;

Інструкція користувача АС 1;

Інструкція з адміністрування системи;

технічна документація на систему захисту інформації ЛОЗА-1;

Паспорт-формуляр на АСВТЗІ;

облікові картки користувачів АСВТЗІ;

Положення про службу захисту інформації;

План захисту інформації;

Інструкція щодо забезпечення режимних заходів під час обробки конфіденційної інформації в АСВТЗІ.

Користувачі АСВТЗІ та технічний персонал

Відповідно до рівня повноважень щодо доступу до секретної інформації, характеру робіт, які виконуються в процесі функціонування АСВТЗІ, для користувачів АСВТЗІ визначаються такі ролі:

звичайний користувач;

адміністратор безпеки;

адміністратор документів;

системний адміністратор.

Облікова картка користувача містить такі реквізити:

ім’я користувача в АСВТЗІ;

прізвище та ініціали, підрозділ і посада користувача;

рівень допуску (найвищий гриф секретності інформації, з якою дозволено працювати користувачеві);

роль користувача в системі (або декілька ролей у випадку суміщення адміністративних ролей);

Для кожного користувача, що буде працювати в АСВТЗІ, заповнюється одна або декілька облікових карток - у залежності від ролей, які він виконує в системі. Кожна облікова картка відповідає обліковому запису користувача в базі даних захисту. Роль звичайного користувача не суміщається в одному обліковому записі з жодною з адміністративних ролей, адміністративні ролі можна суміщати між собою.