АНОТАЦІЯ
Жоможаева Є.Г.. Розробка проекту КСЗІ
Адміністрації міста Міасу. -
Челябінськ: ЮУрГУ,
Кафедра Інформаційна безпека, 2008
Список літератури - 15 найменування.
У курсовому проекті розглянута розробка проекту комплексної системи захисту інформації на прикладі Адміністрації міста Міасу. Проаналізовано характеристика об'єкта захисту; побудована модель бізнес-процесів з метою виявлення конфіденційної інформації, складено «Перелік відомостей конфіденційного характеру», виявлені об'єкти захисту, загрози, вразливості і розраховані ризик для ключових об'єктів захисту, побудована моделі зловмисника; проаналізовано ступінь захищеності організації по кожному з видів захисту інформації (ЗІ) (правова ЗИ, організаційна ЗИ, програмно-апаратна ЗИ, інженерно-фізична ЗИ) і запропоновані заходи щодо забезпечення захищеності організації.

Зміст:
1. Вступ 3
2. Паспорт підприємства. 5
3. Опис моделі бізнес-процесів 9
4. Завдання побудови КСЗІ 10
5. Етапи побудови КСЗІ 11
6. Розрахунок інформаційних ризиків 13
7. Розробка ПІБ 19
8. Висновок 20
9. Джерела 21
10. Програми

Введення.
З кожним роком збільшується кількість інформації, зростає її попит, а значить і зростає її цінність, зв'язку з цим зростають вимоги щодо її захисту. Так само швидкими темпами удосконалюються комп'ютерні технології. Через щорічне поновлення комп'ютерних технологій виникають нові загрози для інформації. Отже, зросте необхідність її захисту. Для того щоб захист був повною необхідно опрацьовувати її комплексно.
Витік будь-якої інформації може відбитися на діяльності організації. Особливу роль відіграє конфіденційна інформація, втрата корою може спричинити великі зміни в самій організації та матеріальні втрати. Так як Адміністрація м. Міас є управлінським органом, то втрата конфіденційної інформації може спричинити втрати не тільки для самої Адміністрації, як організації, так і для всього міста в цілому. Тому заходи щодо захисту інформації в даний час дуже актуальні і важливі.
Для забезпечення повноцінного захисту конфіденційної інформації необхідно проводити комплексний аналіз каналів витоку, каналів і методів несанкціонованого впливу на інформацію.
Метою своєї курсової роботи я обрала розробку проекту КСЗІ на прикладі Адміністрації міста Міасу ..
Завдання, які я поставила перед собою:
1. Проаналізувати загальну характеристику об'єкта захисту, оформлену у вигляді «Паспорти підприємства»;
2. Побудувати модель бізнес-процесів з метою виявлення конфіденційної інформації;
3. Скласти «Перелік відомостей конфіденційного характеру»;
4. Виявити об'єкти захисту, оформлені у вигляді «Списку об'єктів, що підлягають захисту»;
5. Виявити загрози, вразливості і провести розрахунок ризиків для ключових об'єктів захисту;
6. Побудувати модель зловмисника;
7. Проаналізувати ступінь захищеності об'єктів захисту по кожному з видів захисту інформації (ЗІ) (правова ЗИ, організаційна ЗИ, програмно-апаратна ЗИ, інженерно-фізична ЗИ, криптографічний ЗІ);

Паспорт підприємства.
Будівля адміністрації знаходиться в районі. За адресою м. Міас, пр.Автозаводцев, 55. Будівля Адміністрації є триповерховим. Має свій господарський двір для службового автотранспорту. Перед будівлею є автопарковка. Вхід людей до будівлі здійснюється через контрольно-пропускний пункт, що знаходиться на 1-му поверсі будівлі.
Доступ має свої розмежування:
- У Відділ, який займається питаннями роботи з питаннями і проханнями населення, мають доступ усі відвідувачі. Відділ знаходиться на першому поверсі будівлі.
- У відділи і приміщення, що знаходяться на другому поверсі будівлі, де знаходиться конфіденційна інформація допуск здійснюється тільки за перепустками.
- У всі інші приміщення та відділи мають доступ лише службовці і клієнти за записом,
- Доступ до кабінету Голови міста в його відсутність заборонений.
Кордоні КЗ Адміністрації є паркан, що обмежує периметр будівлі і госп. двору ..
Електроживлення будинку здійснюється від трансформаторної підстанції, яка розташована на неконтрольованої території і обслуговується сторонньою організацією.
Будівля оточена житловими будинками (5 - поверховими).
До складу ВТСС входять:
- Система кондиціонування (по одному в кожному кабінеті);
- Телефонний апарат (у кожному кабінеті, телефонний зв'язок здійснюється через загальну АТС будівлі, кабелі АТС виходять за межі КЗ). У кожному відділі по 2.
- Комп'ютер (на кожному робочому місці, склад: системний блок, монітор, миша, клавіатура, 2 динаміка)
- Принтер (у кожному відділі по 1 штуці).
- Телевізор (1шт. в кабінеті Глави міста).
В Адміністрації в кожному кабінеті по 1-3 вікна, в залежності від площі кабінету. Всі вікна - потрійний евростеклопакет. На вікнах встановлені жалюзі. Вікна з одного боку будівлі виходять на госп. двір., решта на галасливі вулиці
Кількість стояків опалення відповідає кількості вікон. Труби системи опалення проходять по всіх поверхах, закінчуються у бойлерній (підвальне приміщення будинку).
Стіни, стеля - залізобетонні плити товщиною 400 мм , Оброблені гіпсокартоном толщіной10мм, підлога - залізобетонні плити товщиною 400 мм , Вкриті паркетом (відділи) і ковроліном (кабінет Голови міста).
Кількість дверей відповідає кількості кабінетів у будинку.
Двері входу в будівлю - залізна укріплена.
Вимоги до монтажу кабельної проводки - прихований монтаж.
Генератори вібро-акустичного зашумлення не встановлені.
Генератори електромагнітного шуму не встановлені.
Напрямки діяльності Адміністрації:
- Юридичний відділ;
- Комітет з управління Машгородка;
- Відділ муніципального обслуговування;
- Питаннями безпеки;
- Проблемами будівництва;
- Питання РАГСу;
- Питаннями комунального господарства, розподілу житла;
- Питання гуманітарного розвитку;
- Питання економічного розвитку;
- Питаннями кадрового розвитку;
- Питаннями господарського обслуговування;
На підприємстві відсутні відомості, що становлять державну таємницю, але ведеться робота з комерційною і службовою таємницею. Існує ряд нормативно-правових актів що регламентують правила користування цими відомостями.
В Адміністрації існує своя локальна мережа, доступ до якої мають тільки службовці Адміністрації. У більшості випадків є доступ лише до обмеженої кількості сайтів цієї мережі, необхідних у ході праці. Інформація про кожний вихід в мережу фіксується системним адміністратором. Це також відноситься до мережі Інтернет.
Основними об'єктами захисту є:
- АРМ співробітників;
- Сервер локальної мережі;
- Конфіденційна інформація (документи);
- Кабінет Голови міста;
- Зал проведення нарад;
- Кабінети з конфіденційною документацією.
В Адміністрації розроблена частина заходів з захисту інформації:
- Укладено договір про охорону приміщення та території;
- Розроблено графік роботи та відвідування населення;
- Розроблений режим та правила протипожежної безпеки;
- Режим відеоспостереження поверхів;
- Розроблені посадові інструкції службовців, розмежовують їх права та обов'язки;
-Додаткові угоди до трудових договорів співробітників про нерозголошення ними конфіденційної інформації, що регламентують відповідальність в області захисту інформації;
- Інструкції з охорони периметра, з експлуатації системи охоронної сигналізації та відеоспостереження;
- Положення про конфіденційний документообіг;
- Опис технологічного процесу обробки КД;
- Встановлена ​​антивірусна системи захисту на АРМ;
- Розмежований доступ до АРМ паролями.

Опис моделі бізнес-процесів.

Модель бізнес-процесу Адміністрації міста Міасу максимально докладно описаний в Додатку № 1, за допомогою побудови моделі BPwin.
Проаналізувавши структуру Адміністрації можна виділити, що вона має дуже велику сферу діяльності. Тому, що складається з безлічі відділів. У кожному відділі розглядаються різні питання щодо забезпечення життєдіяльності міста. Кожен відділ несе відповідальність за свої дії.
Діяльність Адміністрації є дуже важливою, тому як це муніципальні орган управління міста.
Завдання побудови КСЗІ.
Після аналізу наявних даних можна виділити ряд завдань необхідних для побудови КСЗІ:
- Доповнення наявних заходів захисту, впровадження та організацію;
- Скласти комплекс організаційних заходів;
-Опрацювати перелік програмно-апаратних та інженерно-технічних заходів;
- Необхідно скласти перелік конфіденційної інформації;
- Складається перелік об'єктів захисту;
- Визначити перелік загроз для цих об'єктів;
- Розрахувати інформаційні ризики.
Розглянувши склад інформаційних ресурсів підприємства, визначаємо склад конфіденційної інформації:
- Відомості, що становлять комерційну таємницю;
- Відомості, що містять персональні дані.
Отримуємо перелік відомостей, що становлять конфіденційну інформацію (Додаток № 2);
Також необхідно визначити місце розташування захищається інформації на підприємстві. Для цього складається перелік об'єктів захисту (Додаток № 5), що включає структурну графічну схему другого поверху в будівлі Адміністрації (Додаток № 6), де проходить основний потік конфіденційної інформації.
Етапи побудови КСЗІ.
Для створення комплексної системи захисту інформації на підприємстві необхідно провести ряд заходів:
Ці заходи може проводити як спеціально запрошена фірма-виконавець, так і служба безпеки підприємства (якщо вона має ліцензію на здійснення цієї діяльності).
1.Стартовий (початковий).
- Отримання згоди вищого керівництва на створення КСЗІ.
- Розробка плану робіт зі створення КСЗІ.
- Формування команди зі створення КСЗІ.
У результаті проведення цього етапу повинні з'явитися наступні документи:
- Наказ про створення КСЗІ,
- План робіт зі створення КСЗІ,
- Наказ про формування команди,
- Наказ про проведення обстеження підприємства.
2. Етап передпроектного обстеження.
На цьому етапі проводиться обстеження (аудит) підприємства.
- Інвентаризація об'єктів інформатизації та персоналу.
- Виявлення інформаційних потоків.
- Моделювання бізнес-процесів.
- Розробка звіту, до якого мають входити: об'єкти захисту з точки зору загроз, моделі зловмисників, відповідальні за об'єкти інформатизації, розрахунок ризиків, ранжування ризиків.
- Розробка технічного завдання на проектування КСЗІ. У нього входять ключові об'єкти захисту, заходи та засоби захисту, вимоги щодо захисту.
3. Проектування.
- Створення системного проекту.
- Створення "Політики безпеки".
- Проведення робіт зі створення КСЗІ (технічний проект з опорою на ресурси, «Технічний проект на створення КСЗІ» представляє собою комплект документів, до якого входить частина документів розроблених на попередніх етапах і ряд нових документів, в яких описано, як саме буде створюватися, експлуатуватися і, в разі необхідності, модернізуватися КСЗІ).
- Створення робочого проекту.
4. Впровадження
На цьому етапі створюється пакет документів «Експлуатаційна документація на КСЗІ», який включає:
- Інструкції експлуатації КСЗІ та її елементів;
- Процедури регламентного обслуговування КСЗІ;
- Правила та положення з проведення тестування і аналізу роботи КСЗІ.
На цьому етапі проводиться всі пуско-налагоджувальні роботи, навчає і інструктує персонал підприємства правилам і режимам експлуатації КСЗІ.
Після реалізації цього етапу впроваджена КСЗІ готова до подальшого випробуванню. У процесі випробувань виконуються тестові завдання і контролюються отримані результати, які і є індикатором працездатності спроектованої КСЗІ. За результатом випробування КСЗІ робиться висновок щодо можливості подання КСЗІ на державну експертизу.
Розрахунок інформаційних ризиків.
Критичність ресурсу (D) - ступінь значимості ресурсу. Відбиває вплив реалізації загрози на роботу інформаційної системи.
Критичність реалізації загрози (ER) - ступінь впливу реалізації загрози на ресурс. Задається в%.
Імовірність реалізації загрози через дану уразливість протягом року (P (v)) - ступінь можливості реалізації загрози через дану уразливість в тих чи інших умовах, вказується в%.
1. Об'єкт захисту - автоматизоване робоче місце (АРМ) співробітника.
Критерій критичності (D) дорівнює 5000 рублів.
Таблиця загроз і вразливостей.

Загроза	Уразливості
1.Фізичні доступ порушника до АРМ	1. Відсутність системи контролю доступу службовців до чужих АРМам
	2.Відсутність системи відеоспостереження на підприємстві
	3. Неузгодженість у системі охорони периметра завдання
2.Разглашеніе КІ, що зберігається на АРМ	1.Відсутність угоди про нерозголошення між Адміністрацією і службовцями.
	2.Нечеткое розподіл відповідальності між службовцями
3.Разрушеніе КД за допомогою спеціальних програм і вірусів	1.Відсутність або некоректна робота антивірусного ПЗ
	2.Відсутність обмеження доступу користувачів до зовнішньої мережі

Таблиця ймовірності реалізації даної загрози через уразливість в протягом року (P (V)) і критичності реалізації загрози (ER).

Загроза / вразливість	P (V),%	ER,%
1 / 1	50	50
1 / 2	30	50
1 / 3	10	40
2 / 1	30	40
2 / 2	50	40
3 / 1	10	90
3 / 2	20	60

Таблиця рівня загрози за певною уразливості (Th) і за рівнем загроз по всіх вразливостям (CTh).

Загроза / вразливість	Th	CTh
1 / 1	0,25	0,975
1 / 2	0,15
1 / 3	0,04
2 / 1	0,12	0,296
2 / 2	0,2
3 / 1	0,09	0,199
3 / 2	0,12

Th = P (V) / 100 * ER/100
CTh = 1-П (1-Th)
Розрахуємо загальний рівень загроз по ресурсу:
CThR = 1-П (1-CTh) = 1-0,025 * 0,04 * 0,801 = 0,986
Розрахуємо ризик по ресурсу:
R = CThR * D = 0,986 * 7500 = 7395 (руб).
Об'єкт захисту - сервер локальної мережі.
Критерій критичності (D) дорівнює 15000 рублів.

Таблиця загроз і вразливостей.

На ПЕОМ користувачів і на сервері встановлені операційні системи сімейства Microsoft Windows (XP), але система управління користувачами і розмежування доступу до файлових ресурсів не є централізованою (доменна структура відсутня).
Канали витоку інформації.
До можливих каналах витоку або порушення цілісності інформації можна віднести:
- НСД до інформації, що обробляється на ПЕОМ і на сервері;
- НСД до паперових і машинним носіям інформації;
- Вихід з ладу технічних і програмних засобів, в т.ч. машинних носіїв інформації.
Порушення цілісності інформації можливе як шляхом фізичного руйнування носіїв інформації, так і шляхом спотворення її за допомогою програмних засобів:
- Аварії, стихійні лиха (пожежа, затоплення);
- Коливання в мережі електроживлення;
- Старіння магнітної поверхні носіїв інформації;
- Помилкове видалення інформації користувачем;
- Збої прикладного програмного забезпечення.
Можливі такі способи несанкціонованого доступу до ресурсів, що захищаються АС:
- Фізичний доступ до носіїв інформації (до сервера) та їх резервних копій з метою їх розкрадання;
- Фізичний доступ до паперових носіїв інформації, з метою їх розкрадання, розмноження, фотографування;
- Безпосередній (поза рамками прикладного ПЗ) доступ до файлів сховища інформації, таблиць БД і виконуваним модулям ПЗ - віддалено або локально з метою їх копіювання і подальшої установки, а також з метою їх знищення;
- Застосування позаштатних спеціальних програм, що забезпечують відновлення видалених даних з машинних носіїв інформації;
- Передача файлів по каналах зв'язку між співробітниками і за межі станції з метою надання НСД особам, які не мають допуску до даної інформації в обхід штатних засобів захисту;
- Доступ в рамках прикладного ПО локально або віддалено до баз даних і файлів за використанням недокументованих можливостей і режимів роботи цього ПЗ, розроблених і встановлених у якості модифікацій, у разі, коли розробником ПЗ є стороння організація;
- Будь-який доступ до ПЗ і даних з використанням технологій злому засобів захисту з метою отримання або знищення даних (у т.ч. комп'ютерні віруси);
- Доступ з використанням чужого ідентифікатора, а також з чужого робочого місця під час відсутності користувача цього АРМ.
Модель порушника
В якості можливого порушника розглядається суб'єкт, який має доступ до роботи з програмними та технічними засобами. Порушники класифікуються за рівнем можливостей, що надаються їм усіма доступними засобами (Таблиця 1).

Таблиця 1.

Уро-вень	Можливості порушника з технологічного процесу	Потенційна група порушників	Можливий результат НСД
1	Ні	Службовці, які не мають доступу до інформації, але мають доступ в приміщення (обслуговуючий персонал, відвідувачі)	Перегляд на екрані монітора і розкрадання паперових і машинних носіїв.
2	Запуск завдань (програм) з фіксованого набору, що реалізують заздалегідь передбачені функції з обробки інформації	Більшість користувачів АС, які мають безпосередній доступ до приміщень, до АРМ, з повноваженнями, обмеженими на рівні системи захисту інформації (СЗІ)	Доступ користувача до інформації іншого користувача в його відсутність, в т.ч. через мережу, перегляд інформації на моніторі (недотримання організаційних вимог). Перегляд і розкрадання паперових носіїв.
3	Управління функціонуванням АС, тобто вплив на базове програмне забезпечення ОС і СУБД, на склад і конфігурацію обладнання АС, на налаштування ЗЗІ. Робота із зовнішніми носіями.	Адміністратори АС, наділені необмеженими повноваженнями з управління ресурсами	Доступ адміністратора АС до інформації інших користувачів і до засобів ЗЗІ, ненавмисне руйнування інформації (недотримання організаційних вимог)
4	Весь обсяг можливостей осіб, які здійснюють ремонт технічних засобів АС.	Обслуговуючий персонал АС. Фахівці сторонніх організацій, які здійснюють постачання і монтаж обладнання для АС	Доступ обслуговуючого персоналу АС до МН з інформацією інших користувачів, руйнування інформації, установка закладних пристроїв (недотримання організаційних вимог при ремонті ОТСС)

Фактична захищеність
Доступ службовців до ресурсів розмежовується штатними засобами ОС. Список службовців, що мають доступ до ресурсів, документально визначений. Доступ обмежується згідно з посадовими інструкціями.
Документ, який визначає порядок конфіденційного документообігу існує і затверджений.
Документально визначена технологія обробки інформації (документ «Опис технологічного процесу обробки інформації»).
На серверах і робочих станціях застосовуються операційні системи MS Windows, що дозволяє застосувати сертифіковані засоби захисту від несанкціонованого доступу. Але також здійснюється обробка інформації в СУБД, що практично виключає застосування на даних об'єктах сертифікованих засобів захисту від НСД з причини відсутності таких коштів на ринку.
Перелік заходів щодо захисту
Розробка переліку інформації, що захищається
- Необхідно переробити перелік відомостей конфіденційного характеру в плані деталізації оброблюваних даних і віднесення відомостей до тієї чи іншою мірою конфіденційності.
Конфіденційність інформації
З метою підвищення ступеня захищеності інформації в плані дотримання конфіденційності необхідно:
- Розділити введення і виведення інформації одного грифа на рівні АРМ чи користувачів з метою розділення відповідальності та посилення контролю за цими етапами технологічного процесу;
- Обмежити (в т.ч. організаційно) можливості несанкціонованого виведення інформації користувачами на зовнішні носії (дискети, лазерні накопичувачі CD-RW, USB-Flash) і на друк;
- Обмежити кількість або виключити використання локальних принтерів на АРМ користувачів, призначити відповідальних за друк документів на мережевих принтерах;
- Виключити доступ користувачів до ресурсів АРМ інших користувачів, як на запис, так і на читання, тобто можливість створення користувачами загальних мережевих ресурсів на своїх АРМ. Обмін інформацією між користувачами здійснювати через загальні ресурси на серверах;
- Якщо один службовець відноситься до декількох категорій користувачів, то при суміщенні обов'язків він повинен користуватися різними ідентифікаторами. Наприклад, адміністратор може виконувати роботу користувача, але не має права робити це з ідентифікатором адміністратора.
Цілісність інформації
З метою підвищення ступеня захищеності інформації в плані дотримання цілісності необхідно:
- Впровадження виправлень і додавань централізовано розповсюджуваних відомчих програмних засобів на АРМ користувачів і на сервер повинно здійснюватися у вигляді вже скомпільованих виконуваних модулів і процедур, до складу яких не повинні включатися засоби налагодження.
Склад робочої документації
Для документального визначення режимів обробки та захисту інформації до складу робочої (виконавчої) документації по захисту конфіденційної інформації необхідно включити наступні документи:
· «Опис технологічного процесу обробки конфіденційної інформації», в якому висвітлено порядок проведення всіх операцій ТП (введення, висновок, обробка та зберігання, резервування та відновлення, управління доступом);
· «Інструкція користувача», в якій відображені порядок його роботи з інформацією, права, обов'язки і відповідальність;
· «Інструкції адміністраторів ОС, БД»;
· «Інструкція обслуговуючого персоналу»;
· «Журнал реєстрації паперових носіїв інформації», у якому враховуються всі операції роздрукування документів, графи журналу заповнюються виконавцями робіт;
· «Журнал обліку резервного копіювання», у якому враховуються всі операції резервного копіювання і відновлення інформації, всі графи журналу заповнюють адміністратори.
· Перелік зведення конфіденційного характеру Адміністрації міста Міасу.

Додаток № 4
«Політика безпеки Адміністрація міста Міасу

	ЗАТВЕРДЖУЮ Перший заступник глави міста А.С.. Бородін

Адміністрація міста Міасу

Політика
19.10.2007 р. № 1__
м. Челябінськ
безпеки Адміністрації міста Міасу

I. Загальні положення.

1. Призначення документа.

Політика є основою для:
1. Розробки пропозицій щодо вдосконалення правового, нормативного, методичного, технічного і організаційного забезпечення безпеки інформації;
2. Прийняття управлінських рішень і розробки практичних заходів по втіленню політики безпеки інформації та вироблення комплексу узгоджених заходів нормативно-правового, технологічного та організаційно-технічного характеру, спрямованих на виявлення, відображення і ліквідацію наслідків реалізації різних видів загроз безпеці інформації;
3. Координації діяльності структурних підрозділів Адміністрації при проведенні робіт зі створення, розвитку та експлуатації АС з дотриманням вимог забезпечення безпеки інформації.

2. Підстави для розробки документа.

1. Наказ глави Адміністрації міста Міасу про створення Політики Інформаційної Безпеки Адміністрації.
2. Законодавчою базою ПІБ є: Конституція РФ, Цивільний і Кримінальний кодекси, нормативні документи чинного законодавства, документи Федеральної служби технічного та експертного контролю, організаційно-розпорядчі документи Адміністрації.

3. Основні визначення та скорочення.

Інформація - Відомості про осіб, предмети, факти, події, явища і процеси незалежно від форми їх подання
Розголошення КІ - несанкціонований вихід захищаються відомостей і документів за межі кола осіб, яким вони довірені або стали відомі у ході їх трудової діяльності.
Дозвільна (розмежувальна) система доступу до інформації - сукупність обов'язкових норм, встановлюваних першим керівником або колективним органом керівництва фірмою з метою закріплення за керівниками і співробітниками права використання для виконання службових обов'язків виділених приміщень, робочих місць, визначеного складу документів і цінних відомостей.
Сервер - апаратно-програмний комплекс, виконуючий функції зберігання та обробки запитів користувачів та не призначений для локального доступу користувачів через високі вимог щодо забезпечення надійності, ступеня готовності та заходів безпеки ІС підприємства.
Автоматизована станція - сукупність програмних і апаратних засобів, призначених для зберігання, передачі та обробки даних і інформації та виробництва обчислень.
Комерційна таємниця - це конфіденційна інформація, яка має дійсну або потенційну комерційну цінність в силу невідомості її третім особам, до якої немає вільного доступу на законній підставі й у відношенні якої власником такої інформації введений режим комерційної таємниці (тобто, вжито заходів щодо охорони її конфіденційності ).
Інформація про громадян (персональні дані) - відомості про факти, події і обставини життя громадянина, що дозволяють ідентифікувати його особу.
Порушник - це особа, яка зробила спробу виконання заборонених операцій (дій) помилково, незнання або усвідомлено зі злим умислом (з корисливих інтересів) або без такого (заради гри або задоволення, з метою самоствердження і т.п.) і використовує для цього різні методи, можливості і засоби.
АРМ - автоматизоване робоче місце
АС - автоматизована станція
ЗІ - захист інформації
ІБ - інформаційна безпека
ІТ - інформаційні технології
КД - конфіденційні документи
КІ - конфіденційна інформація
КТ - комерційна таємниця
ЛВС - локальна обчислювальна мережа
Стройтрест - не декларовані можливості
НСД - несанкціонований доступ
ПБ - політика безпеки
ПІ - персональний ідентифікатор
ПК - персональний комп'ютер
ПЗ - програмне забезпечення
ПЕОМ - персональна електронно-обчислювальна машина
ПЕМВН - побічні електромагнітні випромінювання та наведення
ОС - операційна система
НС - надзвичайна ситуація
ЕПТ - електронно-променева трубка

II. Опис інформаційної системи.

1. Відповідальність підрозділів.

Відповідальність підрозділів розподіляється наступним чином:
- За підтримку ІС в робочому стані та забезпечення її функціонування відповідально Системний адміністратор;
- За фізичну схоронність обладнання та носіїв інформації відповідальна Служба безпеки;
- За інформаційну безпеку та забезпечення конфіденційності інформації відповідальний фахівець із захисту інформації.

2. Режим функціонування системи.

Режим функціонування інформаційної системи - тільки в робочий час. З метою виконання регламентних робіт з обслуговування обладнання або програмного забезпечення системи можлива зупинка в роботі окремих елементів системи (сервера.) без шкоди для загальної функціональності.
При виникненні збоїв відповідне повідомлення зберігається підсистемою журнал копіювання в системному журналі.

3. Цілі та завдання політики безпеки.

Мета: забезпечення захисту інформації від її спотворення, модифікації, втрати, які можуть призвести до порушення роботи адміністрації, як муніципального органу управління.
Завдання політики безпеки:
- Виявлення діючих і потенційних загроз;
- Розробка методів протидії виявленим загрозам;
визначення оптимальної кількості сил і засобів, необхідних для забезпечення безпеки.

III. Засоби управління.

1. Оцінка ризиків та управління ними.

2. Експертиза системи ЗИ (існуючі засоби ЗІ).

3. Правила поведінки, посадові обов'язки і відповідальність.

4. Планування безпеки.

5. Дозвіл на введення компонентів в дію (будь-якого компонента ІС та системи ЗІ).

6. Порядок підключення підмереж підрозділів до мереж загального користування.

IV. Функціональні засоби.

1. Захист персоналу.

2. Керування роботою і введенням / виводом інформації.

3. Планування безперервної роботи.

4. Засоби підтримки програмних додатків.

Для підтримки програмних додатків, системний адміністратор обов'язковому порядку, щоранку перевіряє наявність оновлень на сайтах виробників встановленого ПО і, за наявності, вживає заходів щодо виправлення ситуації, що склалася.

5. Засоби забезпечення цілісності інформації.

У разі виявлення розбіжності контрольних сум - здійснюється відновлення даних з резервних копій.
Резервні копії інформації і програмного забезпечення повинні витягуватися і тестуватися на регулярній основі.

6. Документування (вся структура документів з ІС та СЗІ + правила складання документів).

Документація повинна включати записи рішень керівництва для забезпечення отслеживаемость дій до рішень керівництва і політикам, а також відтворюваності записаних результатів.
До структури документації по системі захисту інформації входять:
- Перелік відомостей конфіденційного характеру;
- Перелік персональних даних;
- Положення про конфіденційний документообіг;
- Технічне завдання на проведення робіт зі створення комплексної системи захисту інформації;
- Технологічний процес обробки інформації в інформаційній системі;
- Технічний паспорт інформаційної системи;
- Перелік загроз інформаційної системи;
- Печінка об'єктів захисту.
Розробляється документація оформлюється відповідно до ГОСТ РД 50-34.698-90 і ГОСТ 6.10-84, а так само «Положенням про конфіденційний документообіг».

7. Поінформованість і навчання фахівців.

З метою оперативного оповіщення про відбулися інциденти, планових і позапланових робіт, обмеження функціональності і зміни у документах, присвячених системі захисту інформації повідомляють всіх службовці посредствам нарад ..
Всі службовці Адміністрації повинні в обов'язковому порядку проходити навчання з питань інформаційної безпеки. Для персоналу безпосередньо бере участь у процесі розробки або підтримки функціонування інформаційної системи і системи безпеки таке навчання має проходити не рідше 1 разу на рік, для всього іншого персоналу - не рідше 1 разу на 3 роки, для новоприйнятих на роботу - перед вступом на посаду.

8. Відповідні дії, у разі виникнення подій.

Всі інциденти інформаційної безпеки повинні записуватися в базу знань для подальшого аналізу і вироблення рішень для запобігання подібних подій у майбутньому.
Крім того повинні бути розроблені та затверджені інструкції щодо дій в аварійних ситуаціях (пожежа, затоплення та ін.)

V. Технічні засоби.

1. Вимоги до процедур ідентифікації і аутентифікації.

Процедури ідентифікації і аутентифікації повинні забезпечувати надійний контроль доступу до ресурсів ІС.

2. Вимоги до систем контролю розмежування доступу.

Система контролю доступу повинна забезпечувати надійний контроль доступу до ресурсів ІС.

3. Вимоги до системи реєстрації подій в ІС.

Система реєстрації повинна забезпечувати запис всіх подій, що відбуваються в ІС, а так само надавати дані записи у зрозумілому людині вигляді, для подальшого ознайомлення з ними відповідними співробітниками.

ДОДАТОК № 5

«Список об'єктів захисту»

	ЗАТВЕРДЖУЮ Перший заступник глави міста А.С. Бородін

Адміністрація міста Міасу

СПИСОК
19.10.2007 р. № 1__
м. Челябінськ
об'єктів захисту
1. Автоматизовані системи різного рівня та призначення
1.1. Автоматизовані робочі місця службовців
1.2. АРМ секретаря глави міста
1.3. АРМ глави міста
2. Системи зв'язку, системи відображення і розмноження
2.1. засоби і системи телефонного, внутрішнього телефонного, гучномовного зв'язку;
2.2. телефонна система «Внутрянняя»
2.3. засоби і системи звукопідсилення;
2.4. система конфіденційного діловодства (облік, розмноження і рух паперових та інших зовнішніх носіїв інформації);
2.5. система обробки інформації в обчислювальній мережі (введення, обчислення, зберігання, висновок);
2.6. система обробки мовної інформації в спеціально призначених (що захищаються) приміщеннях (переговори, наради);
2.7. автоматизована система передачі інформації між мережами по неконтрольованої території (файли, бази даних, факси, телефонні розмови).
3. Приміщення, в яких встановлені 1, 2, 3.
3.1. Кабінет глави міста
3.2. Кабінет секретаря глави міста
3.3. Архів / серверна
3.4. Бухгалтерія
3.5. Юридичний відділ
3.6. Відділ муніципальної служби кадрів
3.7. Відділ служби безпеки
3.8. Відділ по роботі з кадрами та захисту прав споживачів.
Начальник служби
конфіденційного діловодства М. М. Вушко
ПОГОДЖЕНО
Начальник служби безпеки Ю. К. Крисова
Начальни служби конфіденційного документообігу Д. Б. Ненашев
Перший заступник глави міста А. С. Бородін
У справу № ______