Побудова комплексної системи захисту інформації

Предмет:

Інформатика

Тип роботи:

Курсова робота

К-сть сторінок:

Мова:

Українська

Оцінка:

співробітників служби захисту інформації в АС;

доведення до персоналу і користувачів АС основних положень політики безпеки інформації, їхнього навчання і підвищення кваліфікації з питань безпеки інформації;

запровадження системи контролю за своєчасністю, ефективністю і повнотою реалізації в АС рішень з захисту інформації, дотриманням персоналом і користувачами положень політики безпеки.

Організаційні заходи захисту інформації

Комплекс організаційних заходів захисту інформації в АС включає:

застосування режимних заходів на ОІД;

забезпечення фізичного захисту обладнання АС, носіїв інформації, інших ресурсів;

організацію проведення обстеження середовищ функціонування АС;

виконання робіт з захисту інформації та взаємодії з цих питань з іншими суб’єктами системи ТЗІ в Україні;

регламентацію доступу користувачів і персоналу до ресурсів АС;

здійснення профілактичних заходів щодо попередження ненавмисного порушення політики безпеки, зокрема попередження появи вірусів та ін.

Інженерно-технічні засоби захисту інформації

Комплекс інженерно-технічних засобів захисту інформації - сукупність програмно-апаратних засобів захисту призначено для:

розмежування доступу користувачів до інформації та інших ресурсів АС;

блокування несанкціонованих дій з інформацією та іншими ресурсами АС, локалізації цих дій по відношенню до ресурсів та ліквідації їх наслідків;

забезпечення контролю та захисту потоків інформації, яка обробляється в АС;

забезпечення спостереженості за діями користувачів та персоналу АС, реєстрації, збору, зберігання, обробки даних про події, які мають відношення до безпеки інформації, сповіщення адміністратора безпеки про такі події;

підтримання цілісності критичних ресурсів системи захисту, середовища виконання прикладних програм та інформації в ПТК;

забезпечення контролю за цілісністю об'єктів, що підлягають захисту;

організації обліку, зберігання та обігу матеріальних носіїв інформації;

забезпечення управління засобами КСЗІ та контролю за її функціонуванням.

Основні організаційні заходи

1 Організаційні заходи щодо керування доступом

Організаційні заходи щодо керування доступом повинні передбачати:

визначення порядку доступу користувачів у захищене приміщення, до технічних засобів, носіїв інформації, програмного та інформаційного забезпечення;

визначення порядку внесення/вилучення даних щодо атрибутів доступу користувача до АС установи банку.

2 Організаційні заходи щодо реєстрації та обліку МНІ та документів

Організаційні заходи щодо реєстрації та обліку повинні передбачати визначення порядку:

обліку, використання і зберігання машинних носіїв інформації (МНІ);

організації зберігання, використання і знищення документів і носіїв, що містять інформацію з обмеженим доступом, відповідно до вимог нормативних документів.

3 Організаційні заходи щодо забезпечення цілісності інформації

Організаційні заходи щодо забезпечення цілісності інформації повинні передбачати:

резервне копіювання на МНІ еталонних копій операційних систем і функціональних програм;

облік, видачу, використання і зберігання МНІ, що містять еталонні і резервні копії операційних систем і функціональних програм;

контроль цілісності системного програмного забезпечення;

контроль цілісності КЗЗ АС.

4 Організаційні заходи щодо антивірусного захисту інформації

Організаційні заходи антивірусного захисту інформації в АС повинні передбачати:

використання ліцензійного антивірусного програмного забезпечення на всіх ПК, що входять до складу АС філіалу;

організацію постійного та своєчасного оновлення антивірусних баз.

5 Резервне копіювання, архівування та відновлення інформації

Для забезпечення відновлюваності інформації у випадку збоїв системи або помилок користувачів в АС повинно здійснюватися періодичне резервне копіювання.

Резервному копіюванню підлягає:

ІзОД, яка зберігається у файлах користувачів;

ІзОД, яка зберігається у БД;

настройки ОС, БД та КЗЗ;

журнали реєстрації.

Експлуатаційні та організаційно - розпорядчі документи повинні визначати порядок та періодичність резервного копіювання, архівування та відновлення інформації, місце збереження резервних копій та відповідальних посадових осіб.

Розмежування інформаційних потоків

КЗЗ повинен здійснювати розмежування доступу на підставі атрибутів доступу користувачів і захищених об'єктів. Розмежування доступу здійснюється на рівні надання (встановлення заборони) користувачеві прав читати або модифікувати об'єкт.

КЗЗ повинен надавати можливість адміністратору системи та адміністратору безпеки (відповідно до своїх повноважень) для кожного захищеного об'єкта визначити конкретних користувачів (групи користувачів), які мають право читати або модифікувати об'єкт.

КЗЗ повинен здійснювати розмежування доступу до слабозв’язаних об’єктів на підставі імені користувача (групи користувачів) і захищеного об'єкта та прав доступу.

КЗЗ повинен здійснювати розмежування доступу до сильнозв’язаних об’єктів на підставі імені користувача та його ролі.

Розмежування доступу до ресурсів серверу управління базами даних повинно здійснюватися за допомогою надання адміністратором БД користувачеві певної ролі.

Запити на зміну прав доступу (надання прав доступу, внесення користувача до певної групи або надання певної ролі) повинні оброблятися КЗЗ тільки в тому випадку, якщо вони надходять від адміністратора системи, адміністратора безпеки, адміністратора баз даних (СКБД).

Обслуговуючий персонал має право створювати, модифікувати, вилучати, друкувати та копіювати на МНІ файли з текстовими документи, за які вони відповідають, а також працювати із файлами з документами, що створюються спільно з іншими користувачами, відповідно до наданих прав.

Обслуговуючий персонал має право читати та модифікувати інформацію, що міститься у БД в залежності від програмного комплекса, із яким він працює та прикладної ролі, яку він виконує у цьому комплексі.

Обслуговуючий персонал має право на перегляд та запуск загальносистемного та спеціального програмного забезпечення (право на запуск певного ПК надається відповідно до його функціональних обов’язків).

Обслуговуючий персонал не повинен виконувати настройки конфігураціїї КЗЗ, загальносистемного та програмного