На основе проделанной выше работы строится информационно-логическая модель, изображенная на рисунке 2. На ней с привязкой к компонентам структуры и конфигурации среды ИС и среды организации показываются локализация защищаемых информационных ресурсов (при обработке и хранении) и их циркуляция в ИС. Инфологическая модель призвана в наглядной форме облегчить выявление мест локализации угроз, и уязвимостей, которые могут использоваться угрозами.

Рис. 2 Информационно-логическая модель

1.4 Информационно-технологическая инфраструктура

Информационно-технологическая инфраструктура анализируемой ИС может быть упрощённо представлена в виде иерархии следующих основных уровней:

- физического (кабельные линии и соответствующее оборудование);

- сетевого (главным образом концентратор);

- сетевых приложений (почтовые программные средства);

- операционных систем (ОС серверов, АРМ операторов ДЦ, администраторов);

- систем управления базами данных (СУБД серверов паролей и личных данных);

- приложений, обеспечивающих реализацию основных функций ИС (средства создания формы на АРМ операторов ДЦ, средства мониторинга и т.п.);

- бизнес-процессов организации.

2. Разработка перечня угроз и их описания на основе стандартной модели угроз

2.1 Описание угроз

Следующим шагом курсовой работы является разработка описания угроз информационным ресурсам организации, их источников, методов и средств защиты. С учётом этого, а также выбрав в соответствие с заданием в качестве исходной угрозы:

- непоставка защищаемой информации на примере информации БД сервера (ИР_5);

- ошибочная поставка защищаемой информации на примере информации БД сервера (ИР_5).

Информационный ресурс: информация БД сервера (ИР_5)- критический ресурс для данного учреждения.

Дальнейшее описание каждой угрозы соответствует следующей модели угроз из ГОСТ Р ИСО/МЭК 15408-2002, которая включает в себя:

- нападения, пригодные для реализации угрозы (возможность, методы, уязвимости);

- объекты нападений;

- тип потери (конфиденциальность, целостность, доступность, и т.д.);

- масштаб ущерба;

- источник угроз. Для источников угроз - людей - модель нарушителя должна включать:

а) указание их опыта,

б) указание знаний,

в) указание доступных для реализации угрозы ресурсов,

г) возможную мотивацию действий.

Описание угроз проведено последовательно на каждом уровне информационно-технологической инфраструктуры.

1. Физический уровень:

Непоставка защищаемой информации:

? Нападения, пригодные для реализации угрозы (возможность,

уязвимости, методы):

? возможность - маловероятна;

? уязвимость - открытость доступа к линиям связи, кабелям,

неисправность в канале связи;

? методы нападения - случайный обрыв кабеля, перегрузка сети,

неисправность в канале связи;

? Объект нападения - оборудование, ИР_5;

? Тип потери - затруднение деятельности;

? Масштаб ущерба - высокий;

? Источник угроз - оператор;

а) Опыт: начальный уровень;

б) Знания: не обязательны;

в) Доступные ресурсы: не обязательны;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

Ошибочная поставка защищаемой информации:

? Нападения, пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - маловероятна;

? уязвимость - открытость доступа к линиям связи, кабелям,

неисправность в канале связи;

? методы нападения - частичное или неполное выведение из строя аппаратных средств;

? Объект нападения - сетевое оборудование, аппаратные ресурсы, ИР_5;

? Тип потери - затруднение деятельности, потеря производительности;

? Масштаб ущерба - низкий;

? Источник угроз - оператор;

а) Опыт: начальный уровень;

б) Знания: не обязательны;

в) Доступные ресурсы: не обязательны;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

2. Сетевой уровень:

Непоставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного

обеспечения;

? методы нападения - перегрузка системы, сбой в операционной системе;

? Объект нападения - сетевое оборудование, аппаратные ресурсы, ИР_5;

? Тип потери - затруднение деятельности;

? Масштаб ущерба - средний;

? Источник угроз - руководитель;

а) Опыт: начальный уровень;

б) Знания: не обязательны;

в) Доступные ресурсы: не обязательны;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

Ошибочная поставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного обеспечения;

? методы нападения - перегрузка системы, сбой в операционной

системе, частичное выведение из строя сетевого оборудования;

? Объект нападения - сетевое оборудование, аппаратные ресурсы, ИР_5;

? Тип потери - затруднение деятельности;

? Масштаб ущерба - низкий;

? Источник угроз - оператор;

а) Опыт: начальный уровень;

б) Знания: не обязательны;

в) Доступные ресурсы: не обязательны;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

3. Уровень сетевых приложений:

Непоставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного

обеспечения, определяется ошибками драйверов;

? методы нападения - сбой в операционной системе, отказ работы

почтового сервера, внедрение программного кода;

? Объект нападения - почтовые программные средства и т.п., ИР_5;

? Тип потери - затруднение деятельности;

? Масштаб ущерба - средний;

? Источник угроз - вирусы, работники, администраторы.

а) Опыт: начальный уровень;

б) Знания: не обязательны;

в) Доступные ресурсы: не обязательны;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

Ошибочная поставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность,

уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного обеспечения, определяется ошибками драйверов;

? методы нападения - перегрузка системы, сбой в операционной системе, внедрение программного кода;

? Объект нападения - сетевое оборудование, аппаратные ресурсы, ИР_5;

? Тип потери - почтовые программные средства и т.п.;

? Масштаб ущерба - низкий;

? Источник угроз - вирусы, работники, администраторы.

а) Опыт: начальный уровень;

б) Знания: не обязательны;

в) Доступные ресурсы: не обязательны;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

4. Уровень операционных систем:

Непоставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - изъяны используемой операционной системы;

? методы нападения - выведение из строя ОС программным кодом;

? Объект нападения - операционная система АРМ, ИР_5;

? Тип потери - затруднение деятельности;

? Масштаб ущерба - средний;

? Источник угроз - вирусы;

а) Опыт: начальный уровень;

б) Знания: не обязательны;

в) Доступные ресурсы: не обязательны;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

Ошибочная поставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность,

уязвимости, методы):

? возможность - вероятна;

? уязвимость - изъяны используемой операционной системы;

? методы нападения - выведение из строя ОС программным кодом;

? Объект нападения - операционная система АРМ, ИР_5;

? Тип потери - затруднение деятельности;

? Масштаб ущерба - средний;

? Источник угроз - вирусы;

а) Опыт: начальный уровень;

б) Знания: не обязательны;

в) Доступные ресурсы: не обязательны;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

5. Уровень СУБД:

Непоставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного обеспечения, неполная автоматизация сервера БД;

? методы нападения - несвоевременное исправление ошибок СУБД,

умышленное нанесение вреда системе администратором БД;

? Объект нападения - АРМ администратора СУБД, сервер обработки БД, сервер резервного копирования, ИР_5;

? Тип потери - затруднение деятельности, целостность;

? Масштаб ущерба - высокий;

? Источник угроз - работники, оборудование, программное

обеспечение;

а) Опыт: начальный уровень;

б) Знания: необходимые для выполнения своих должностных обязанностей;

в) Доступные ресурсы: информационные;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

Ошибочная поставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного

обеспечения, неполная автоматизация сервера БД;

? методы нападения - несвоевременное исправление ошибок СУБД, умышленное нанесение вреда системе администратором БД;

? Объект нападения - АРМ администратора СУБД, сервер обработки БД, сервер резервного копирования, ИР_5;

? Тип потери - затруднение деятельности, целостность;

? Масштаб ущерба - высокий;

? Источник угроз - персонал, оборудование, программное обеспечение;

а) Опыт: начальный уровень;

б) Знания: необходимые для выполнения своих должностных обязанностей;

в) Доступные ресурсы: информационные;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

6. Уровень приложений, обеспечивающих реализацию основных функций ИС:

Непоставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного обеспечения, неполная автоматизация сервера БД;

? методы нападения - умышленное нанесение вреда системе администратором БД, перегрузка системы, сбой;

? Объект нападения - информация, хранящаяся на сервере обработки данных и на сервере резервного копирования, ИР_5;

? Тип потери - затруднение деятельности, целостность;

? Масштаб ущерба - средний;

? Источник угроз - работники, оборудование, программное обеспечение;

а) Опыт: начальный уровень;

б) Знания: необходимые для выполнения своих должностных обязанностей;

в) Доступные ресурсы: информационные;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

Ошибочная поставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного обеспечения, неполная автоматизация сервера БД;

? методы нападения - умышленное нанесение вреда системе администратором БД, перегрузка системы, сбой;

? Объект нападения - информация, хранящаяся на сервере обработки данных и на сервере резервного копирования, ИР_5;

? Тип потери - затруднение деятельности, целостность;

? Масштаб ущерба - средний;

? Источник угроз - персонал, оборудование, программное обеспечение;

а) Опыт: начальный уровень;

б) Знания: необходимые для выполнения своих должностных

обязанностей;

в) Доступные ресурсы: информационные;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

7. Уровень бизнес-процессов:

Непоставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного обеспечения, неполная автоматизация сервера БД, недобросовестное исполнение должностных обязанностей;

? методы нападения - несвоевременное исправление ошибок СУБД, умышленное нанесение вреда системе администратором БД;

? Объект нападения - информация, хранящаяся на сервере обработки данных и на сервере резервного копирования, ИР_5;

? Тип потери - затруднение деятельности, целостность;

? Масштаб ущерба - средний;

? Источник угроз - работники, оборудование, программное обеспечение;

а) Опыт: начальный уровень;

б) Знания: необходимые для выполнения своих должностных обязанностей;

в) Доступные ресурсы: информационные;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

Ошибочная поставка защищаемой информации:

? Нападения пригодные для реализации угрозы (возможность, уязвимости, методы):

? возможность - вероятна;

? уязвимость - использование некачественного программного обеспечения, неполная автоматизация сервера БД, недобросовестное исполнение должностных обязанностей;

? методы нападения - несвоевременное исправление ошибок СУБД, умышленное нанесение вреда системе администратором БД, перегрузка системы, сбой;

? Объект нападения - информация, хранящаяся на сервере обработки данных и на сервере резервного копирования, ИР_5;

? Тип потери - затруднение деятельности, целостность;

? Масштаб ущерба - средний;

? Источник угроз - работники, оборудование, программное обеспечение;

а) Опыт: начальный уровень;

б) Знания: необходимые для выполнения своих должностных обязанностей;

в) Доступные ресурсы: информационные;

г) Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

2.2 Оценка рисков

При проведении оценки рисков рассматриваются три основные категории возможных потерь, описанные в таблице 4.

Таблица 4 - Категории возможных потерь

Оценка рисков состоит из двух этапов:

- оценка рисков потенциальных угроз на всех уровнях информационно-технологической инфраструктуры организации с помощью заполнения матрицы оценки риска;

- определение комбинированного уровня риска для каждого уровня информационно-технологической инфраструктуры с помощью заполнения таблицы оценки риска.

Матрица оценки рисков разделена на уровни информационно-технологической инфраструктуры организации. В рамках каждого уровня перечисляются потенциальные угрозы. Справа от каждой угрозы приводятся уровни риска по каждой из категорий возможных потерь.

Матрица заполняется заданием уровня риска - высокого (В), среднего (С) или низкого (Н):

Высокий уровень: значительная денежная потеря, потеря производительности или затруднения, являющиеся результатом реализации угрозы;

- Средний уровень: номинальная денежная потеря, потеря производительности или случающиеся иногда затруднения.

- Низкий уровень: либо минимальная возможность денежной потери, потери производительности, либо затруднения, либо вообще ничего не произойдет.

При заполнении матрицы оценки рисков в таблице 5 учитываются возможность реализации угрозы, для которой оценивается риск, тип потери, а также масштаб ущерба, который может возникнуть при реализации угрозы.

Таблица 5 - Матрица оценки рисков

Если бы была реализована угроза в непоставки вследствие неисправности в канале связи по причине случайного обрыва кабеля, то денежная потеря была бы значительной, существовала бы потеря производительности, а так же затруднения в деятельности организации, либо вообще затруднений не было.

Если бы была реализована угроза в ошибочной поставки вследствие открытости доступа к линиям связи по причине небрежности и халатности оператора либо частичного или неполного выведения из строя аппаратных средств, то денежная потеря была бы минимальной, потеря производительности была бы не значительной, а так же случающиеся иногда затруднения в деятельности организации.

Если бы была реализована угроза в непоставки вследствие вывода из строя сетевого оборудования по причине небрежности и халатности начальника, то денежная потеря была бы значительной, существовала бы потеря производительности, а так же затруднения в деятельности организации, либо вообще затруднений не было.

Если бы была реализована угроза в ошибочной поставки из-за частичного выведения из строя сетевого оборудования по причине халатности и небрежности работников либо некачественного использования программного оборудования, то денежная потеря была бы минимальной, потеря производительности была бы не значительной, а так же случающиеся иногда затруднения в деятельности организации.

Если бы была реализована угроза в непоставки вследствие сбоя в операционной системе по причине использования драйверов с ошибками либо по небрежности и халатности работников, администраторов, то денежная потеря была бы не значительной, существовала бы потеря производительности, а так же случающиеся иногда затруднения в деятельности организации.

Если бы была реализована угроза в ошибочной поставки вследствие внедрения программного кода по причине небрежности и халатности работников, администратора, то денежная потеря была бы минимальной, существовала бы потеря производительности, а так же случающиеся иногда затруднения в деятельности организации.

Если бы была реализована угроза в непоставки вследствие выведения из строя ОС программным кодом по причине проникновения вирусов, то денежная потеря была бы не значительной, существовала бы потеря производительности, а так же затруднения в деятельности организации.

Если бы была реализована угроза в ошибочной поставки вследствие выведения из строя ОС с программным кодом по причине проникновения вирусов, то денежная потеря была бы минимальной, существовала бы потеря производительности, а так же случающиеся иногда затруднения в деятельности организации.

Если бы была реализована угроза в непоставки вследствие несвоевременных исправлений ошибок СУБД по причине небрежности и халатности работников, то денежная потеря была бы номинальной, существовала бы потеря производительности, а так же затруднения в деятельности организации.

Если бы была реализована угроза в ошибочной поставке вследствие умышленного нанесения вреда системе администратором БД по причине использования не качественного программного обеспечения, то денежная потеря была бы значительной, существовала бы потеря производительности, а так же затруднения в деятельности организации.

Если бы была реализована угроза в непоставки вследствие сбоя, перезагрузки системы по причине использования работниками некачественного программного обеспечения, то денежная потеря была бы не значительной, существовала бы потеря производительности, а так же случающиеся иногда затруднения в деятельности организации.

Если бы была реализована угроза в ошибочной поставки вследствие дефектов сбоев по причине неполной автоматизации сервера БД, то денежная потеря была бы не значительной, существовала бы потеря производительности, а так же случающиеся иногда затруднения в деятельности организации.

Если бы была реализована угроза в непоставки вследствие несвоевременного исправления ошибок, умышленного нанесения вреда системе администратором БД по причине недобросовестного исполнения должностных обязанностей, то денежная потеря была бы значительной, существовала бы потеря производительности, а так же случающиеся иногда затруднения в деятельности организации.

Если бы была реализована угроза в ошибочной поставки вследствие несвоевременного исправления ошибок, умышленного нанесения вреда системе администратором БД по причине недобросовестного исполнения должностных обязанностей, то денежная потеря была бы не значительной, существовала бы потеря производительности, а так же случающиеся иногда затруднения в деятельности организации, либо вообще затруднений не было.

Таблица оценки рисков используется для показа объединенного уровня риска для каждого уровня инфраструктуры. Категории потерь перечисляются вверху, а уровни инфраструктуры - ниже. Таблица 6 заполняется с помощью задания объединенного уровня риска каждого из уровней инфраструктуры. Объединенный уровень риска следует получать исходя из матрицы оценки рисков для всех предварительно идентифицированных угроз.

Таблица 6 - Таблица оценки риска

На заключительном этапе курсовой работы решается задача разработки политик безопасности организации. Эта стадия состоит из следующих этапов:

формулирование правил безопасности для противодействия угрозам информационной системы организации;

собственно разработка политики безопасности на основе сформулированных правил безопасности

Правила ИБ определяют содержание, и цели деятельности организации в рамках процессов управления ИБ в части противостояния актуальным угрозам. В правилах ИБ описывается, что должно быть защищено и какие ограничения накладываются на управление. Правила, составляющие политику безопасности, описывают безопасность в общих терминах и не описывают, каким образом ее осуществлять.

Угроза в непоставки вследствие использования некачественного программного обеспечения

Правило:

? на физическом уровне должен проводиться контроль и профилактика работоспособности аппаратуры и кабельных соединений, централизированная служба парольной защиты должна генерировать пароли и обеспечивать ими пользователей;

? ответственность за сохранность паролей от компрометации возлагается на пользователей;

? использовать ресурсы Интернет могут только сотрудники, обладающие правом доступа.

Угроза в непоставки вследствие неполной автоматизации сервера БД

Правило:

? в организации должны проводиться проверки выполняемых действий персонала;

? в организации следует оговаривать и периодически проверять обязанности по безопасности.

Угроза в ошибочной поставке вследствие некачественного программного обеспечения

Правило:

? разделить рабочие места операторов для комфортной работы и исключения ошибок во время приема заявок (внешний шум);

? периодическое изучение и повторение операторами существующих оперативных служб и их функций.

Угроза в непоставки вследствие неполной автоматизации сервера БД, недобросовестного исполнения должностных обязанностей

Правило:

? необходимо проводить мониторинг системы, чтобы выявлять и устранять сбои ОС.

Угроза в непоставки вследствие несвоевременного исправления ошибок СУБД, умышленного нанесения вреда системе администратором БД

Правило

? необходимо использовать сертифицированное ПО;

? необходимо проводить мониторинг системы, чтобы выявлять и устранять сбои и ошибки СУБД.

Таблица 7 - Политика информационной безопасности

Заключение

В ходе выполнения курсовой работы была разработана политика ИБ для информационной системы районного участка горводоканала. Для этого была сформулирована бизнес-цель, бизнес-функции, построены структурная и инфологическая модели ИС организации, выполнена систематизация угроз и их описание. На основании получившихся данных проведена оценка рисков, которая определила перечень актуальных угроз для ИС.

В результате проделанной работы были сформулированы правила ИБ, соблюдение которых сведет вероятность осуществления угроз к минимуму, а также возможные виды защитных мер по поддержанию информационной безопасности. В соответствии с правилами разработана политика ИБ для районного участка горводоканала. Следование разработанной ИБ поможет защитить информацию и поддерживать инфраструктуру от случайных и преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации.

Таким образом, требование технического задания было выполнено.

Список использованных источников

ГОСТ Р ИСО/МЭК 15408 «Критерии оценки безопасности информационных технологий». Действующий с 1 января 2004 года.

ГОСТ Р 50922 «Защита информации. Основные термины и определения»;

ГОСТ Р ИСО/МЭК 13335 «Информационные технологии. Методы и средства обеспечения безопасности»;

ФЗ “Об информации, информационных технологиях и о защите информации» №149-ФЗ от 27.07.06.