Оценка безопасности ИС

Сертификация программных и  технических средств для обеспечения  защиты коммерческой тайны и обработки персональных данных возлагается не на предприятия, на которых они используются и , а на предприятия их выпускающие.

1.7. Оценка состояния правовой защиты информации

Правовая защищенность информации на предприятии может быть оценена как хорошая. Она складывается из правовой основы федеральных и муниципальных правовых актов и внутрифирменных положений. Во внутрифирменных положениях обращено особое внимание на практические способы осуществления защиты информации конфиденциального характера, компенсируя тем самым недостаток четких формулировок в федеральных правовых актах.

Однако высшая оценка не может быть поставлена в силу сложной структуры  защиты сведений конфиденциального  характера на федеральном уровне, разобщенной системы наказания, сложности доказательства фактов нарушения конфиденциальности информации.

Так как на данном предприятии  «Вектор» обрабатывается только конфиденциальная информация (в том числе и служебная информация), и в АС предприятия  пользователи имеют одинаковые права к информации различного уровня конфиденциальности, то требования к безопасности АС устанавливаются в соответствии с классом защищенности 2Б. На предприятии установлен 5 класс защищенности СВТ от НСД в соответствии с РД ГТК «Средства ВТ. Защита от НСД. Показатели защищенности от НСД к информации». Он является оптимальным для коммерческих предприятий не связанных с обработкой государственной тайны.

Мною выбрана стратегия "выследить  и осудить" (когда злоумышленнику позволяют продолжить действия с целью его выявления и наказания) в связи с тем, что рассмотренное мной предприятие:

• имеет  хорошо защищенную систему, используют надежные средства резервирования;
• подвергается частым атакам со стороны злоумышленников;
• может контролировать действия злоумышленника;
• обладает положительным опытом работы с правоохранительными и правозащитными органами.

Пример количественной оценки рисков информационной безопасности предприятия  приведен в приложении Б.

 

ЗАКЛЮЧЕНИЕ

 В данной работе была разработана система организационных и организационно-технических мер, направленных на защиту информационных ресурсов на фирме ООО «Вектор». Данная фирма занимается реализацией программно-аппаратных средств ЗИ. Была поставлена задача организации обеспечения защиты КТ на данном предприятии.

Был рассмотрен и применен перечень нормативно-правовых актов, разработанных  в соответствии с законодательством  РФ для построения надежной защиты КТ на данном предприятии.

 

 

 

 

 

 

 

 

СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ

1. В.А. Тихонов, В.В. Райх «Информационная безопасность: концептуальные, правовые, организационные и технические аспекты », Москва 2006 г.
2. Российская Федерация. Законы. О персональных данных. №152-ФЗ – М. : Эксмо, 2005. – 32 с;
3. Российская Федерация. Законы. О коммерческой тайне. №98-ФЗ – М. : Эксмо, 2008. – 12 с;
4. Российская Федерация. Законы. О лицензировании отдельных видов деятельности. №128-ФЗ – М. : Эксмо, 2010. – 32 с;
5. Российская Федерация. Законы. Уголовный кодекс;
6. Российская Федерация. Законы. Гражданский кодекс;
7. Российская Федерация. Указ Президента. Об утверждении перечня сведений конфиденциального характера;
8. РД ГТК. Специальные требования и рекомендации по технической защите конфиденциальной информации. – М. : Гостехкомиссия, 2002;
9. РД ГТК. Средства ВТ. Защита от НСД. Показатели защищенности от НСД к информации. – М. : Гостехкомиссия, 97;
10. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. – М. : ФСТЭК, 2008;
11. А.В. Петраков «Основы практической защиты информации», Москва 2005 г.
12. http://www.gdezakon.ru/gk/

 

 

 

 

 

 

 

 

 

 

 

 

Приложение А

ООО «Вектор»

 

ПРИКАЗ

О введении перечня сведений составляющих коммерческую тайну

_________ ноября 2010 г. Таганрог

№___________

 

 

В целях повышения информационной безопасности, введения режима коммерческой тайны и обеспечения режимы защиты персональных данных,

 

ПРИКАЗЫВАЮ:

 

1. Утвердить и ввести в действие с 1 декабря 2010 перечень сведений составляющих коммерческую тайну, включающий в себя:

• сведения о подготовке, принятии и об исполнении руководством предприятия отдельных решений по коммерческим, организационным и иным вопросам;

• данные о планах инвестиций, закупок и продаж;
• информация о направлениях маркетинговых исследований и результатах изучения рынка, содержащая оценки состояния и перспективы развития рыночной конъюнктуры;
• сведения о рыночной стратегии компании;
• данные о применяемых фирмой методах продаж;
• информация о регионах, в которых фирма осуществляет свою деятельность;
• сведения о заказчиках, поставщиках, клиентах, потребителях, покупателях, компаньонах, спонсорах, посредниках и других партнерах деловых отношений, а также о конкурентах, которые не содержатся в открытых источниках (справочниках, каталогах и др.);
• данные об информационной системе компании и о применяемых способах информационной защиты.
• Персональные данные.

 

 

 

2. Ознакомить под роспись всех сотрудников предприятия с перечнем сведений, являющихся конфиденциальными;
3. Назначить ответственным за реализацию введения перечня начальника службы безопасности Шестакова Р.В.

 

 

 

 

Директор ООО «Вектор»

Д.А. Попов

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Таганрог 2013

 

Приложение Б

Количественная оценка рисков

 

Величина степени защищенности (в процентах): Кз = 85%; Стоимость (S) используемых активов АС: S = 2,25 млн. рублей;

Стратегические принципы безопасности АС: " выследить и осудить ";

Величину ущерба (V) активам АС при реализации угроз:  
V = S•(1-Кз) = 337 500 руб;

Ожидаемые потери (E) после создания системы информационной безопасности:

Е = V•p = 337 500 руб*0.5=168 750 руб (таблица 1).

 

Таблица 1. Ожидаемые потери после создания системы информационной безопасности

Категории активов	S [руб.]	V [руб.]	P	E [руб.]
Аппаратное обеспечение	750000	112500	0,5	56000
Программное обеспечение	500000	75000	0,5	30000
Информационное обеспечение	150000	22500	0,5	10000
Персонал	500000	75000	0,5	33000
Документация	200000	30000	0,5	12500
Расходные материалы	150000	22500	0,5	11000