Организация и технология защиты информации Анализ угроз и разработка предложений по обеспечению информационной безопасности предприятия

В ходе проведения работы была проанализирована организационная структура предприятия, идентифицированы активы, подлежащие защите, составлены перечни угроз и уязвимостей. С помощью детальной стратегии анализа рисков были выявлены наиболее существенные уязвимости для дальнейшей разработки мер по их устранению.

В итоге был разработан ряд рекомендаций и предложений, включающих организационные и технические мероприятия по защите информации, в том числе разработана политика информационной безопасности и сопутствующий пакет нормативно-методической документации, спроектированы системы контроля и управления доступом, система видеонаблюдения и также была предложена к внедрению система предотвращения утечек конфиденциальной информации.

Введение 6

1 Обеспечение информационной безопасности 8

2 Цели, стратегия и политика безопасности информационных технологий 9

3 Основные варианты стратегии анализа риска организации 11

3.1 Базовый подход 12

3.2 Неформальный подход 13

3.3 Детальный анализ риска 14

3.4 Комбинированный подход 15

3.4.1 Установление границ рассмотрения 16

3.4.2 Идентификация активов 17

3.4.3 Оценка активов и установление зависимости между активами 18

3.4.4 Оценка угроз 20

3.4.5 Оценка уязвимости 22

3.4.6 Идентификация существующих/планируемых защитных мер 23

3.4.7 Оценка рисков 24

4 Общие сведения и характеристика предприятия 26

4.1 Цели, задачи и виды деятельности предприятия 26

4.2 Организационная структура и функционал должностных лиц предприятия

.............................................................................................................................. 26

4.3 Информационно-вычислительная система предприятия 28

5 Определение информационных ресурсов, нуждающихся в защите 33

5.1 Классификация информационных ресурсов 33

5.2 Перечни ресурсов организации, подлежащих защите 34

5.3 Оценка активов 35

6 Оценка угроз 37

6.1 Угрозы утечки информации по техническим каналам 37

6.2 Угрозы несанкционированного доступа к информации 38

6.2.1 Угрозы уничтожения, хищения аппаратных средств, носителей информации путем физического доступа к элементам информационной

системы 39

6.2.2 Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа с

применением программно-аппаратных и программных средств (в том числе программно-математических воздействий) 41

6.2.3 Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИС и СЗ в ее составе из-за сбоев в программном обеспечении, а также от угроз неантропогенного и

стихийного характера 43

6.2.4 Угрозы преднамеренных действий внутренних и внешних

нарушителей 45

6.2.5 Угрозы несанкционированного доступа по каналам связи 45

7 Оценка уязвимостей 54

7.1 Среда и инфраструктура 54

7.2 Аппаратное обеспечение 54

7.3 Программное обеспечение 55

7.4 Коммуникации 58

7.5 Документы 59

7.6 Персонал 60

8 Оценка рисков 62

9 Разработка организационных мероприятий по защите информации 63

9.1 Разработка Перечня сведений, составляющих коммерческую тайну и Положения о коммерческой тайне 64

9.2 Разработка Политики информационной безопасности предприятия 64

9.3 Разработка Соглашения о неразглашении коммерческой тайны 66

9.4 Разработка Положения о разрешительной системе доступа к

конфиденциальным документам 68

9.5 Разработка технологических регламентов и инструкций 72

9.6 Разработка Положения об обучении и проверке знаний по вопросам информационной безопасности 73

10 Разработка технических мер по защите информации 74

10.1 Система управления и контроля доступом 76

10.2 Система видеонаблюдения 77

10.3 Система предотвращения утечек конфиденциальной информации 79

10.4 Доработка групповых политик ActiveDirectory 81

11 Результаты проведенной работы 83

Заключение 85

Список сокращений 86

Список использованных источников 87

ПРИЛОЖЕНИЯ 89-135