1 2
Содержание
Введение.
1. Описание исследуемого объекта.
1.1. Анализ функционального процесса.
1.2. Анализ архитектуры автоматизированной системы.
1.3. Информация, подлежащая защите, определение источников информации
2. Проектирование системы информационной безопасности.
2.1. Анализ требований к автоматизированным системам.
2.2 Модели угроз и возможных нарушителей.
2.3. Состав и оценка эффективности проектируемой системы информационной безопасности.
3. Разработка защищенного комплекса.
3.1. Структурно-функциональная схема проекта.
3.2. Выбор целесообразных программно-технических средств и организационных мероприятий.
3.3. Функциональная оценка эффективности подсистемы компьютерной безопасности
3.4 Расчет технико-экономических показателей.
Заключение.
Список использованных источников.
Введение
Создать идеальную систему защиты информации невозможно, но возможно отдалить во времени негативное событие, а также подготовиться к нему. Для предотвращения инцидента в ближайшей перспективе, либо подготовки к устранению его последствий нужны не только специалисты, но и ресурсы.
Быстрое развитие информационных технологий способствует появлению новых угроз и уязвимостей. В то же время уже зарекомендовавшие себя векторы атак используются более активно злоумышленниками. Проблемы и задачи в сфере информационной безопасности настолько глубоки и разнообразны, что требуют непрерывной подготовки специалистов высокого уровня.
Да и имеющиеся ресурсы для обеспечения информационной безопасности, либо ликвидации последствий далеко не безграничны. Желательно, чтобы руководство в сфере информационной безопасности уже с первого раза принимало верное решение, так как последствия от ошибочного или недальновидного решения могут быть критическими для организации, вплоть до её закрытия.
Актуальность выполненной работы в условиях угроз информационной безопасности высока.
При написании данной работы были использованы научная и учебно-методическая литература, стандарты в области защиты информации и информационных технологиях. Основными источниками, раскрывающими теоретические основы обеспечения комплексной защиты информации, являлись работы Астахова А. М., Баранова Е. К., Бирюкова А. А., Гришина Н.В., Денисова Ю., Лушникова Н. Д., Эпельфельда И. И. В данных источниках подробно рассмотрено понятие угроз информационной безопасности, а также информационных рисков организации.
Научная новизна работы заключается в обоснованном и оптимальном выборе современных средств защиты, а также в выработке организационных мер для обеспечения информационной безопасности, соответствующих нормативной базе ФСТЭК России.
Объектом выполненной работы является центр обработки вызовов скорой помощи в с. Майма Республики Алтай.
Предметом выпускной квалификационной работы является обеспечение информационной безопасности средств автоматизации приема вызовов скорой медицинской помощи.
Целью данной работы является разработка проекта защищенного комплекса средств автоматизации приема вызовов скорой медицинской помощи.
Задачами выполненной работы являются:
– анализ функционального процесса;
– анализ архитектуры автоматизированной системы;
– определение источников информации, подлежащих защите;
– построение модели угроз и возможных нарушителей;
– проведение оценки эффективности проектируемой системы защиты информации;
– построение структурно-функциональной схемы проекта;
– выбор программно-аппаратных средств защиты и организационных мероприятий;
– функциональная оценка эффективности разработанной системы защиты информации.
Практическая значимость заключается в возможности применения выбранных средств защиты для создания объекта, отвечающего требованиям безопасности ФСТЭК России.
1. Описание исследуемого объекта
В данном разделе работы отражены сведения исследуемого объекта выполненной работы центра обработки вызовов скорой медицинской помощи в с. Майма Республики Алтай, раскрывающие структуру и анализ функционального процесса, архитектуры автоматизированной системы обработки вызовов. Обобщены и показаны источники информации, подлежащей защите.
1.1. Анализ функционального процесса
Система вызова скорой медицинской помощи заключается в виде деятельности дежурного персонала медицинской службы, действующего на территории Республики Алтай и обеспечивающего прием вызовов и направление бригад скорой медицинской помощи пострадавшим.
Прием вызовов скорой медицинской помощи осуществляется центрами обработки вызовов (далее – ЦОВ), которые создаются на базе дежурных диспетчерских служб (далее – ДДС) муниципальных образований.
В центре обработки вызовов скорой медицинской помощи циркулирует два типа информации:
– оперативная информация, к которой относятся данные о вызовах, сообщениях, происшествиях (обращения граждан с просьбой об оказании необходимой помощи; сообщения о происшествиях и чрезвычайных ситуациях;
данные о ходе реагирования на принятый вызов (сообщение о происшествии); данные по управлению (контроль состояния) силами и средствами; данные об изменении режима функционирования ЦОВ и ДДС; данные о развитии обстановки при происшествиях и чрезвычайных ситуациях и о ходе работ по их ликвидации; данные о результатах реагирования на происшествия; данные о действиях персонала скорой помощи медицинской службы при приеме сообщения о происшествии и реагировании на происшествия);
– текущая информация, представляющая обобщённые данные о вызовах, происшествиях и основных результатах реагирования на них (данные о результатах ликвидации происшествий и материальном ущербе; обобщённые данные о функционировании систем; данные о состоянии сил и средств; данные о состоянии и работоспособности программно-технических средств центра обработки вызовов.
В случае заведомо ложного вызова заявитель несёт ответственность в соответствии с действующим законодательством Российской Федерации.
С операторами ЦОВ скорой медицинской помощи взаимодействуют пользователи сетей фиксированной телефонной связи, подвижной радиотелефонной связи, комплексы взаимодействующих сигнальных систем.
Приём вызовов, являющихся сообщениями о происшествии, осуществляется операторами ЦОВ, которые вводят в базу данных информацию о происшествии, которая проходит процесс регистрации, анализа, и в зависимости от специфики происшествия к работе подключается диспетчер (фельдшер, радиотелефонист, дежурный и пр.) скорой медицинской службы.
Обобщенная схема процесса приема и обработки вызова скорой медицинской службы представлена на рисунке 1.
При поступлении вызова скорой медицинской службы:
1) дежурный оператор обязан осуществить прием вызова;
2) при наличии признаков чрезвычайной ситуации соединить с позвонившим лицом старшего оператора смены;
3) старший оператор смены обязан выполнить план мероприятий по оповещению соответствующих должностных лиц.
Если в момент поступления вызова все операторы заняты, вызов переходит в очередь на ожидание. Первый освободившийся оператор начинает приём и обработку вызова.
Обобщенная схема процесса приема вызова скорой медицинской помощи изображена на рисунке 2.
Решение об организации реагирования на вызов оператор принимает на основе оценки достоверности полученных данных с учётом возможной «необоснованности» вызова, типа происшествия, требований руководящих документов и инструкций, условий обстановки, а также наличия сил и средств реагирования.
1.2. Анализ архитектуры автоматизированной системы
Прием и обработка вызовов службой скорой медицинской помощи осуществляется в установленном порядке в соответствии со «Статистическим инструментарием станций (отделений), больниц скорой медицинской помощи», утвержденным приказом Минздравсоцразвития России от 2 декабря 2009 г. № 942.
В составе операторского персонала основного и резервного центров обработки вызовов кроме дежурных специалистов могут быть предусмотрены также:
– старший смены;
– специалист — переводчик-лингвист;
– специалист психолог;
– ведущий инженер электроник.
Старший смены выполняет следующие функции:
– организация работы дежурных специалистов;
– координация взаимодействия операторов (при необходимости);
– сбор данных и формирование сводной отчетности по работе специалистов (операторов;
– выполнение функций дежурного оператора при повышенной нагрузке.
Специалист переводчик-лингвист выполняет следующие функции:
– обеспечение поддержки языков, отличных от русского, при общении операторов с позвонившим лицом;
– выполнение функций дежурного оператора при повышенной нагрузке.
Специалист психолог выполняет следующие функции:
– обеспечение психологической поддержки позвонившего лица (когда требуется его вмешательство) в двух режимах (с отключением оператора от разговора или с участием оператора в разговоре);
– выполнение функций дежурного специалиста при повышенной нагрузке.
Ведущий инженер электроник обеспечивает:
– надежное и своевременное предоставление информации об объектах связи, расположенных на территории Республики, различной степени детализации; обеспечение ее полноты, правильности, актуальности и необходимой конфиденциальности;
– возможность совместного использования разнородных данных, получаемых из различных источников (операторов связи, граждан), об объектах связи, расположенных на территории Республики;
– создание информационной основы для последующего решения аналитических задач;
– контроль актуальности и целостности баз данных;
– определение состава, структуры, внешнего вида компонентов системы обработки вызовов;
– внесение изменений в состав, структуру и логику работы системы обработки вызовов;
– контроль доступа к базам данных системы обработки вызовов или её компонентам пользователям системы в соответствии с их полномочиями;
– контроль корректности работы системы обработки вызовов и её компонентов;
– все виды работ с программными оболочками компонентов системы обработки вызовов, предусмотренные их разработчиками, в том числе настройку программно-технического комплекса пользователя, необходимую для нормального функционирования.
– выполнение функции дежурного оператора по приему и обработке вызовов.
Дежурный специалист (оператор) при приеме вызова выполняет следующие действия:
1) представляется позвонившему лицу;
2) производит первичный опрос позвонившего лица и регистрирует полученные сведения (информацию о происшествии) в базе данных (заполняет общую информационную часть (поля) унифицированной электронной формы учета события);
3) принимает решение о необходимости подключения к разговору переводчика, психолога.
Центр обработки вызовов скорой медицинской помощи в с. Майма Республики Алтай располагается в административном здании на 1 этаже. Схема расположения помещений представлена на рисунке 3.
Локально-вычислительная сеть службы скорой медицинской помощи в с. Майма Республики Алтай состоит из диспетчерской службы медицинской помощи, рабочего места старшего смены, рабочего места, ведущего инженер электроника и специалиста психолога. Локально-вычислительная сеть ЦОВ является сегментом сети взаимодействия оперативных служб системы 112 Республики Алтай.
В качестве пограничного с сетью Интернет оборудования выступает маршрутизатор D-Link DIR-841. С использованием программных фильтров пограничного маршрутизатора сетевое взаимодействие объектов ЦОВ службы скорой медицинской помощи в с. Майма Республики Алтай с ресурсами сети Интернет ограничено [9, 10].
Администрирование маршрутизаторов разрешено только из внутренней сети с IP-адреса компьютера ведущего инженера электроника.
В качестве коммутаторов уровня доступа применяются коммутаторы второго уровня TP-LINK TL-SF1016D. С целью повышения информационной безопасности локально-вычислительной сети, структурные подразделения организации вынесены в отдельные сегменты сети (VLAN), используя технологию 802.1Q реализованную коммутатором [9, 10].
Рабочие станции организации функционируют в рабочей группе – Workgroup со статической IP-адресацией из диапазона 172.16.9.0/24. Сетевое оборудование имеет статическую адресацию этого же диапазона.
Центр обработки данных (ЦОД) располагается в Республиканской больнице г. Горно-Алтайск на 3 этаже административного здания. ЦОД оснащен системами кондиционирования, пожарной и охранной сигнализацией. Доступ сотрудников больницы и посторонних лиц ограничен СКУД. Резервное электропитание оборудования осуществляется источниками бесперебойного электропитания. Схема ЦОД представлена на рисунке 4.
В качестве пограничного с сетью Интернет оборудования выступает маршрутизатор Cisco 3925, являющийся оборудованием провайдера ПАО «Ростелеком». С использованием программных фильтров пограничного маршрутизатора сетевое взаимодействие объектов ЦОД с ресурсами сети Интернет ограничено. Кроме того, настройками указанного маршрутизатора запрещено взаимодействие объектов сети Интернет, имеющих IP-адреса иностранных операторов связи, с объектами ИТС.
Для передачи голосового трафика используется голосовой шлюз Cisco VG204XM.
В качестве телекоммуникационного оборудования уровня доступа используется отказоустойчивый кластер из двух коммутаторов Cisco Catalyst 4500-X.
Резервное копирование баз данных осуществляется на систему хранения данных стоечного исполнения Synology SA3600.
1.3. Информация, подлежащая защите, определение источников информации
Приём вызовов службы скорой медицинской помощи осуществляется операторами, которые по результатам опроса позвонившего лица вводят в базу данных характеристики происшествия.
Все действия операторов (в том числе и переговоры) регистрируются в электронных базах данных системы обработки вызовов.
Вызов (сообщение о происшествии) от позвонившего лица через технические площадки местного оператора связи поступает в соответствующий программно-технический комплекс приема и обработки вызовов для автоматической регистрации и заполнения параметров:
– автоматически определяется номер абонентского устройства, с которого поступил вызов;
– автоматически от оператора связи принимаются данные о местоположении абонентского устройства, с которого осуществляется вызов;
– позвонившее лицо автоматически оповещается о записи разговора (если оператор немедленно подключился к данному вызову, то такое оповещение делает именно оператор);
– осуществляется автоматическая запись разговора вплоть до его окончания.
При этом на экране АРМ оператора ЦОВ отображается следующая информация:
– префикс района вызова (код зоны вызова) конкретного муниципального образования;
– номер абонентского устройства (телефона) с которого поступил вызов.
– местоположение абонентского устройства;
– фамилия, имя, отчество владельца абонентского устройства.
Перечисленные выше данные, а также данные о моменте (дате и времени) поступления вызова (сообщения о происшествии) фиксируются автоматически в унифицированной электронной форме события (вызова) (карточке вызова) и сохраняются в базе данных вызовов.
Оперативный срок хранения таких данных в системе обработки вызовов составляет 1 месяц, долговременный срок хранения – 36 месяцев.
Для обеспечения унификации процессов информационного обмена применяется унифицированная электронная форма учета события (информационная карточка). Под унифицированной электронной формой учета события (информационной карточкой) понимается документ единой базы данных системы обработки вызовов, доступ к которому имеет персонал системы в соответствии со своей компетенцией.
Координаты места происшествия, передаваемые внешними информационными системами (терминалами системы ЭРА-ГЛОНАСС, другими сигнальными системами и комплексами), также вводятся в базы данных системы обработки вызовов автоматически.
Рассматривая источники информации в центре обработки вызовов, можно выделить следующие:
– документация;
– персонал;
– оказываемые услуги;
– технические средства обеспечения деятельности;
– косвенные источники;
– информация на технических носителях [3, 4].
Всю информацию, циркулирующую в центре обработки вызовов службы скорой медицинской помощи в с. Майма Республики Алтай, можно разделить на три вида:
1) конфиденциальная информация, с ограничением допуска посторонних лиц (вопросы, касающиеся сил и средств);
2) персональные данные (база данных абонентов и сотрудников);
3) открытая информация, не подлежащая защите, утечка которой не нанесет вреда организации [8, 12].
По мнению Астахова А.М.: «Анализ рисков является наиболее значимой частью процесса управления рисками информационной безопасности». Этот процесс состоит из выявления и оценивания рисков, снижения их до требуемого уровня, а также применения оправданных мер для поддержки рисков в пределах установленного уровня.
Идеальной защиты не существует. При анализе каждой системы можно выявить уязвимости, угрозы, вероятности реализации угроз и ущерб. Опираясь на результат анализа рисков можно разработать и применить адекватные меры для снижения значений рисков до уровня, который приемлем для организации.
Риски могут иметь различные формы, не обязательно связанные с информационными технологиями. «С точки зрения информационной безопасности, существует несколько видов рисков, на которые организация должна обратить внимание. Семью основными категориями являются: действия человека, физический ущерб, неисправность оборудования, утрата данных, внутренние и внешние атаки, неправильное использование данных, ошибки в программном обеспечении» Гришина Н.В. [2, 7].
Выводы, которые отражены в отчете проведенного анализа рисков, не только влияют на управленческие решения и поведение руководителей отделов информационной безопасности, но также могут повлиять на решения руководства организации в целом. Правильная оценка рисков позволяет эффективно использовать имеющиеся ресурсы. Риски должны быть выявлены и оценены с позиции величины потенциальных потерь. Тем не менее, на практике реальные риски трудно оценить, но вполне возможно выделить приоритетные риски, которым следует уделить внимание в первую очередь. Также расставленные приоритеты среди рисков позволяют выстроить оперативный, тактический и стратегический план действий администраторов информационной безопасности.
Информационные ресурсы – это данные, используемые для получения информации; документы и массивы документов, самостоятельные и в системах.
Информационные ресурсы организации находятся в файлах массивов информации на компьютерах, архивах, фондах, библиотеках [8].
2. Проектирование системы информационной безопасности
Во втором разделе работы осуществлено проектирование системы информационной безопасности объекта, рассмотрены типовые требования к автоматизированным информационным системам, построены модели угроз и возможных нарушителей, а также проведена оценка проектируемой системы информационной безопасности используя модель оценки эффективности Домарева.
2.1. Анализ требований к автоматизированным системам
Для создания защищенных автоматизированных информационных систем требуется наличие соответствующих знаний и опыта.
Потребитель может не разбираться в таком проекте и подробностях его развития, однако он должен следить за каждой ступенью на предмет соответствия техническому заданию и требованиям необходимых нормативных документов. В свою очередь, собственный опыт проектирования требует использования необходимых документов в этой сфере для получения максимально эффективного результата.
Таким образом, процесс проектирования защищенных автоматизированных информационных систем должен базироваться на знании и чётком выполнении требований существующих нормативных документов, как со стороны ее создателей, так и со стороны пользователей [8].
Защита информации – это набор комплексных мероприятий, совершающихся с целью предотвращения утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации, несанкционированного копирования, блокирования информации и т.п.
Из-за того, что потеря информации может происходить по сугубо техническим, объективным и неумышленным причинам, под это определение подходят также и мероприятия, связанные с повышением надежности сервера из-за отказов или нарушений в работе жестких дисков, недостатков в текущих программных средствах и т.д. [3, 6].
Существует четыре уровня защиты информации:
- предотвращение (лишь авторизованный персонал имеет доступ к информации и технологии);
- обнаружение (предусматривается раннее обнаружение нарушений и злоупотреблений, даже если системы защиты были обойдены);
- ограничение (минимизируются потери, если преступление все-таки случилось, невзирая на защитные меры);
- восстановление (обеспечивается эффективное восстановление информации при наличии документированных и проверенных планов по этой операции).
Существует 2 источника информации, на которых основывается оценка компании: внутренний и внешний. Под внутренними источниками понимаются официальные каналы распространения информации в организации, предоставление информации руководителю организации, ее структурных подразделений, филиалов и представительств. Под внешними – любая другая информация, полученная из любых других источников: партнеров, конкурентов, клиентов, властей и т.п.
Источники конфиденциальной информации предоставляют полные сведения о составе, описании и роде деятельности организации. Поэтому хорошая система защиты информации, созданная с учетом всех нюансов, позволит избежать различных проблем.
Анализ рисков является одним из способов управления ими, позволяя выбирать адекватные меры для защиты информации с помощью определения уязвимостей, угроз, а также оценки возможного воздействия, позволяя своевременно реагировать на угрозы [2].
Основными целями анализа рисков являются:
а) выявление угроз и уязвимостей;
б) идентификация активов и их ценности для организации;
в) количественная оценка вероятности угроз и влияния на бизнес потенциальных угроз;
г) обеспечение экономического баланса между ущербом от воздействия угроз и стоимостью контрмер.
По мнению Астахова А.М.: «Благодаря анализу рисков можно сравнить потенциальный годовой ущерб с годовой затратой контрмер».
Сам процесс анализа рисков согласно ГОСТ Р ИСО/МЭК 27005-2010 делится на несколько этапов:
- выявление активов и их ценности для организации;
- выявление угроз и их характеристик;
- идентификация существующих средств управления рисками информационной безопасности [2,3].
При помощи данного этапа можно избежать лишних затрат и повысить эффективность уже существующих средств управления рисками информационной безопасности.
- выявление уязвимостей, которые могут быть использованы злоумышленниками;
- определение последствий, при происшествии негативного события;
- установление количественной или качественной оценки рисков [2].
В зависимости от данных и их полноты, полученных при проведении анализа рисков, оценка рисков может иметь различную степень детализации. От степени детализации и обстоятельств зависит методология оценки рисков.
По мнению Астахова А.М.: «Она может быть качественной, количественной или комбинированной. В обычных случаях для получения общих представлений об уровне риска используется качественная оценка. Такая оценка удобна поначалу, так как в сравнении с количественной является менее сложной. Такая методика используется там, где невозможно получить удобные числовые значения. Недостатком же является то, что выбор шкал является субъективным» [2, 5].
При качественной оценке применяется шкала значения атрибутов, при помощи которой описываются значения возможных последствий и вероятности их возникновения. Значения шкал и сами шкалы могут быть подстроены для конкретных обстоятельств, так как не всегда одно и то же описание подходит для разных рисков.
Для более точных оценок рисков используется количественная методология оценки рисков. В такой методологии применяются шкалы не с описательным, а числовым значением. Числовые значения последствий и их вероятности берутся из различных источников. От полученных числовых значений и выбранных моделей будет зависеть конечное значение риска. Именно поэтому все входящие данные и значения должны быть аргументированы. С одной стороны, такая методика позволяет количественно оценить риск, но в случаях, когда невозможно проверить числовые данные создается ложное чувство точности и ценности установленных величин риска [1, 2, 5].
От видов риска и цели их оценивания зависит то, каким способом будет выражаться последствие риска и его вероятность. Несмотря на то, что при качественной оценке конкретные числа не называются, а лишь их диапазон.
Выбранный диапазон показывает некий числовой промежуток, что косвенным образом позволяет оценить риск в числовом значении. Часто, при оценивании рисков применяются и качественная и количественная методики.
Оба подхода в зависимости от обстоятельств используются в разной степени, что позволяет компенсировать недостатки каждого подхода, взятого отдельно.
При проведении анализа рекомендуется указывать уровень неуверенности в оценке, так как это способствует лучшему пониманию результатов анализа.
После того, как организация определила величину риска, у нее есть 4 варианта действий: перенести, избежать, уменьшить или принять риск. Перенос риска обозначает, что организация передает ответственность за него кому-либо другому, кто может более эффективно управлять риском.
Чтобы избежать, риска, необходимо прекратить деятельность, которая его вызывает. Для снижения риска до уровня, который удовлетворяет организацию, реализуются определенные меры. Принятие риска выгодно тогда, когда расходы на контрмеры превышают размер потенциального ущерба [1,2].
Для проведения анализа требований информационной безопасности была использована нормативная база, состоящая из некоторых документов:
– ГОСТ Р 50739-95. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования. Госстандарт России.
– ГОСТ Р 50922-2006. Защита информации. Основные термины и определения. Госстандарт России.
– ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. Госстандарт России.
– ГОСТ Р 51624-2000. Защита информации. Автоматизированные системы в защищенном исполнении. Общие требования.
– ГОСТ Р 52069-2003. Защита информации. Система стандартов. Основные положения.
– ГОСТ Р ИСО/МЭК 17799-2005. Информационная технология. Методы и средства обеспечения безопасности. Практические правила управления информационной безопасностью.
– ГОСТ Р ИСО/МЭК 18028-1-2008. Информационная технология. Методы и средства обеспечения безопасности. Сетевая безопасность информационных технологий. Менеджмент сетевой безопасности.
– ГОСТ Р ИСО/МЭК ТО 19791-2008. Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем.
– ГОСТ Р ИСО/МЭК 13335-1-2006. Информационная технология. Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий.
– Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
– Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
– Постановление Правительства Российской Федерации от 15.09. 2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
– Постановление Правительства РФ от 8 февраля 2018 г. N 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений».
В соответствии с проведенным анализом требований информационной безопасности к автоматизированным информационным системам, а также проведенным определением источников информации был осуществлен переход к построению моделей угроз и возможных нарушителей.
2.2. Модели угроз и возможных нарушителей
Для составления модели угроз и модели нарушителя необходимо определить наиболее важную информацию, проходящую в сети организации, а также хранимую на бумажных носителях.
В организации циркулируют:
– персональные данные сотрудников организации;
– персональные данные абонентов;
– служебная тайна организации;
– открытая информация [8].
Под угрозой имеется в виду высокая существующая вероятность специального или непреднамеренного действия, в результате которого могут быть нарушены основные свойства информации и систем ее обработки: доступность, целостность и конфиденциальность [15].
Модель угроз информационной безопасности представлена в Приложении А.
Следует иметь в виду, что финальная цель нарушения может быть разной, она варьируется от категории объекта и облика возможного нарушителя.
Возможные типы нарушителей делятся на две категории, а именно:
Внешние нарушители:
– разведывательные службы государств;
– криминальные структуры;
– недобросовестные партнеры;
– другие физические лица, не относящиеся к указанным выше.
2) Внутренние нарушители:
– лица, имеющие санкционированный доступ к информационной системе, но не имеющие доступа к защищаемой информации. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционирование информационной системы;
– зарегистрированные пользователи информационной системы, осуществляющие ограниченный доступ к ресурсам АИС с рабочего места;
– зарегистрированные пользователи информационной системы, осуществляющие удаленный доступ к защищаемой информации по локальным и (или) распределенным информационным системам;
– зарегистрированные пользователи информационной системы с полномочиями администратора безопасности сегмента информационной системы;
– зарегистрированные пользователи с полномочиями системного администратора информационной системы;
– зарегистрированные пользователи с полномочиями администратора безопасности информационной системы;
– программисты-разработчики прикладного программного обеспечения и лица, обеспечивающие его сопровождение на защищаемом объекте;
– разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств в информационной системе.
2.3. Состав и оценка эффективности проектируемой системы информационной безопасности
На всех этапах жизненного цикла системе защиты информации присущи неопределенность ее свойств в условиях реального воздействия случайных факторов из внешней и внутренней среды. Оценка эффективности деятельности является составной частью процедуры управления эффективностью деятельности организации. Оценка эффективности системы защиты информации выполняется с учетом определенных потенциальных угроз и моделей нарушителей.
Проектируемая система информационной безопасности службы скорой медицинской помощи Республики Алтай представлена на рисунке 5.
Из рисунка 5 видно, что проектируемая система информационной безопасности состоит из 5 ключевых подсистем.
Для оценки эффективности защиты системы информационной безопасности службы скорой медицинской помощи Республики Алтай будет использована модель оценки эффективности Домарева, которая путём экспертных оценок показывает наиболее уязвимые места в системе информационной безопасности организации, тем самым определяя область дальнейшего совершенствования системы.
Так как руководством организации была принята наступательная стратегия обеспечения информационной безопасности, вероятность защиты информации должна быть не ниже 0,87.
В таблице 3 представлены показатели эффективности системы информационной безопасности для каждой из подсистем информационной безопасности организации.
Исходя из таблицы 3, можно сделать вывод, что наиболее уязвимое место в системе информационной безопасности организации – подсистема компьютерной безопасности, вероятность защиты информации для данной подсистемы – 0,84, а вероятность защиты информации в организации в целом – 0,86, что не соответствует утвержденной наступательной стратегии (вероятность защиты информации 0,87 – 0,93).
Для получения более детального результата, была проведена подробная оценка эффективности всей подсистемы компьютерной безопасности, представленной в таблице 4.
Из рисунка 6 видно, что наиболее уязвимыми показателем являются позиции с 17 по 20 – осуществление выбора средств защиты информации.
По результатам анализа состава и оценки эффективности существующей системы информационной безопасности выявлено (на основе методики Домарева), что в целом вероятность защиты информации системы информационной безопасности – 0,86, что не соответствует утвержденной в организации наступательной стратегии (0,87 – 0,93).
В ходе анализа всех подсистем информационной безопасности методикой Домарева было выявлено, что подсистема технической защиты – наиболее проблемная отрасль. Вероятность защиты информации данной подсистемы равна 0,84, что не соответствует наступательной стратегии.
Рекомендуется совершенствовать данную подсистему для достижения требуемого уровня защищенности всей системы информационной безопасности службы скорой медицинской помощи Республики Алтай.
1 2