Разработка рекомендаций по организации защиты информации ОАО "РЖД"

СОДЕРЖАНИЕ

 

СПИСОК ИСПОЛЬЗУЕМЫХ СОКРАЩЕНИЙ………………………	7
ВВЕДЕНИЕ………………………………………………………………	10
1 ИССЛЕДОВАНИЕ ПРИНЦИПОВ  ПОСТРОЕНИЯ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ…………………………………………………...	12
1.1 Определение и основные  понятия системы защиты информации………………………………………………………………….....	12
1.2 Исследование организации  защиты информации в системе  безопасности предприятия…………………………………………………….	17
1.3 Исследование общеметодологических  принципов построения системы  защиты информации…………………………………………………	19
1.4 Исследование основ архитектурного построения системы защиты информации…………………………………………………………...	23
1.5 Исследование явлений  типизации и стандартизации систем  защиты информации…………………………………………………………...	29
1.6 Исследование методов  проектирования систем защиты  информации………………………………………………………………….....	35
1.7 Выводы по главе…………………………………………………......	42
2 АНАЛИЗ ФУНКЦИОНИРОВАНИЯ  СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ СТАНЦИИ  ОАО РЖД «ЧЕРКЕССК»…………………….	44
2.1 Общая характеристика  предприятия……………………………….	44
2.2 Анализ организационно-штатной структуры организации………	45
2.3 Анализ применяемой  системы защиты информации на  предприятии ОАО РЖД станция  «Черкесск»………………………………..	50
2.3.1Анализ системы  охранно-пожарной сигнализации……………...	52
2.3.2 Анализ системы  видеонаблюдения………………………………	59
2.3.3 Анализ системы  доступа и оповещения………………………….	60
2.3.4 Анализ системы  резервного электропитания……………………	60
2.4 Причины недостаточного  обеспечения защиты информации  ОАО РЖД станция «Черкесск»……………………………………………….	61
2.5 Перечень каналов  несанкционированного получения информации…………………………………………………………………….	62
2.6 Выводы по главе…………………………………………………......	64
3 РАЗРАБОТКА РЕКОМЕНДАЦИЙ  ПО ОРГАНИЗАЦИИ СИСТЕМЫ ЗАЩИТЫ  ИНФОРМАЦИИ СТАНЦИИ ОАО РЖД   «ЧЕРКЕССК»…………………………………………………………………..	66
3.1 Рекомендации по требованиям и к условиям защиты информации…………………………………………………………………….	66
3.2 Рекомендации по  определению функций защиты информации…………………………………………………………………….	70
3.3 Рекомендации по  перекрытию возможных  каналов  несанкционированного получения информации………………………….....	70
3.4 Рекомендация по  выбору средств, достаточных для  решения задач по защите информации  филиала предприятия ОАО РЖД  станция «Черкесск»………………………………………………….…………………..	73
3.4.1 Рекомендации по  борьбе с вирусами…………………………….	73
3.4.2 Рекомендации по  установке межсетевого экрана, системы  IDS, VPN………………………………………………………………………...........	74
3.4.3 Рекомендации по  обновлению ПО…………………………….....	76
3.5 Рекомендации по  реструктуризации системы защиты  информации филиала предприятия  ОАО РЖД станция «Черкесск»…...….	78
3.6 Рекомендации по  решению организационно-правовых  вопросов защиты информации…………………………………………………………...	82
3.6.1 Рекомендации по  защите информации в автоматизированных  информационно-телекоммуникационных системах…………………………	82
3.6.2 Рекомендации для   работы администраторов безопасности  ОАО РЖД станция «Черкесск»…………………….………………………….	82
3.6.3 Рекомендации по  защите конфиденциальной информации на предприятии ОАО РЖД «Черкесск»…..………………………………….......	83
3.7 Оценка эффективности функционирования системы защиты информации в условиях выбранных задач защиты информации………......	83   84
3.8 Технико-экономическое  обоснование рекомендованных мероприятий…………………………………………………………………....
3.9 Выводы по главе……………………………………………………..	94
ЗАКЛЮЧЕНИЕ………………………………………………………….	96
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ……………………	98
ПРИЛОЖЕНИЕ А……………………………………………………….	101
ПРИЛОЖЕНИЕ Б……………………………………………………......	119
ПРИЛОЖЕНИЕ В……………………………………………………….	123
ПРИЛОЖЕНИЕ Г………………………………………………………..	126

 

СПИСОК ИСПОЛЬЗУЕМЫХ СОКРАЩЕНИЙ

 

РФ – Российская Федерация

ОАО «РЖД» – Открытое акционерное общество «Российские  железные дороги»

АС – автоматизированная система

ПО – программное  обеспечение

СЗИ – система защиты информации

АСОД – автоматизированная система обработки данных

ЭВМ – электронная  вычислительная машина

ВЗУ – внешнее запоминающее устройство

ОС – операционная система

СУБД – система  управления базой данных

ЗУ – запоминающее устройство

ВТ – вычислительная техника 

О – обязательные

Ц – целесообразные

НЦ – нецелесообразные

Д – допустимые

НД – недопустимые

ПЭВМ – персональная электронно-вычислительная машина

ГЭВМ – групповая  электронно-вычислительная машина

ВЦ – вычислительный центр

ВЦП – вычислительный центр предприятия

ВЦКП – вычислительный центр коллективного пользования

ЛВС – локальная вычислительная сеть

СВС – слабораспределенные вычислительные сети

РВС – распределенные, региональные вычислительные сети

ГВС – глобальные вычислительные сети

ТСК – типовой структурный компонент

КПП – контрольно пропускной пункт

ВОХР – вооружённые подразделения охраны

ТПР – типовое проектное  решение 

ИС – информационная система

ПЭМИН – побочных электромагнитных излучений

КНПИ – канал несанкционированного получения информации

СУИБ – система  управления информационной безопасностью

ИБ – информационная безопасность

АИТС – автоматизированная информационная и телекоммуникационная система

НГЧ – дистанция гражданских сооружений

ВЧД – вагонное депо, начальник вагонного депо

ПЧ – дистанция пути, начальник дистанции пути

ШЧ – дистанция сигнализации, централизации и блокировки

ТЧэ – заместитель начальника локомотивного депо по эксплуатации

ЭЧ – дистанция электроснабжения, начальник дистанции электроснабжения

ТЧр – заместитель начальника локомотивного депо по ремонту

ДС – начальник станции

МЧ – механизированная дистанция погрузочно-разгрузочных работ

ПРММ – путевой ремонтно-механический завод

ДЦС – маневровый диспетчер

ГВЦ – главный вычислительный центр Министерства путей сообщения Российской Федерации

ИВЦ – информационно-вычислительный центр

СОИБ – система  обеспечения информационной безопасности

ИОК – инфраструктура открытых ключей

ЭЦП – электронно-цифровая подпись

ЕМЦСС – единая магистральная цифровая сеть связи

СПД – система передачи данных

АРМ – автоматизированное рабочее место

ЭТРАН – электронная транспортная накладная

ЕК АСУ ФР – автоматизированная система управления финансами и ресурсами

МЧС – Министерство чрезвычайных ситуаций

ОПС – охранно-пожарная сигнализация

ППКОП – приборы приемно-контрольные охранно-пожарные

ИК – инфракрасный

АК – акустический

ЗИ – защита информации

ОЗУ – оперативное запоминающее устройство

RSA – Rivest, Shamir и Adleman, криптографический алгоритм с открытым ключом

VPN – виртуальная частная сеть

SSL – уровень защищённых сокетов

TCP – протокол управления передачей

QOS – качество обслуживания

LDAP – облегчённый протокол доступа к каталогам

IT – информационные технологии

СХД – сеть хранения данных

НСД – несанкционированный доступ

СБ – служба безопасности

ОТЗИ – организация  и технология защиты информации

IDS – системы обнаружения вторжений

DOS – отказ в обслуживании

ДФ – дестабилизирующий  фактор

ИП – информатизация процессов

БД – база данных

КБ – килобайт

МБ – мегабайт

ЧДД – чистый дисконтный доход

ИД – индекс доходности

ВВЕДЕНИЕ

 

Людям свойственно защищать свои секреты. Развитие информационных технологий, их проникновение во все сферы человеческой деятельности приводит к тому, что проблемы информационной безопасности с каждым годом становятся всё более и более актуальными – и одновременно более сложными. Технологии обработки информации непрерывно совершенствуются, а вместе с ними меняются и практические методы обеспечения информационной безопасности. Действительно, универсальных методов защиты не существует, во многом успех при построении механизмов безопасности для реальной системы будет зависеть от её индивидуальных особенностей, учёт которых плохо подаётся формализации.

Поэтому часто информационную безопасность рассматривают как  некую совокупность неформальных рекомендаций по построению систем защиты информации того или иного типа.

Объектом исследования данной работы является информационная система ОАО РЖД станция «Черкесск».

Предметом исследования является система защиты информации на предприятии.

Цель данной работы –  разработка рекомендаций для организации  системы защиты информации ОАО РЖД станции «Черкесск».

Задачи дипломной работы:

– исследовать принципы построения системы защиты информации;

– проанализировать функционирование системы защиты информации ОАО РЖД станция «Черкесск»

– разработать практические рекомендации по организации системы защиты информации станции ОАО РЖД «Черкесск».

Теоретико – методологическую базу исследования составляют научная  и учебная литература по данной проблематике, публикации в специализированной периодической  печати, материалы конференций, ресурсы интернет.

Теоретическая значимость данного исследования заключается в том, что материалы, изложенные в работе, представляют углубленное и систематизированное освещение методов и способов создания системы защиты информации на предприятии.

Практическая значимость дипломной работы определяется возможностью применения её результатов в системе защиты информации ОАО РЖД станции «Черкесск».

Дипломная работа состоит  из введения, трех глав, заключения и  списка использованных источников.

Во введении обосновывается выбор темы, ее актуальность, предмет  и объект исследования, методы исследования, определяется теоретическая и практическая значимость, формулируются цели и  задачи данного исследования.

В первой главе исследованы основные понятия и принципы построения системы защиты информации, роль защиты информации в службе безопасности предприятия, основы архитектурного построения систем защиты информации, типизация и стандартизация систем защиты информации, методы проектирования систем защиты информации, а так же критерии оценивания системы СЗИ.

Во второй главе проведен анализ системы защиты информации предприятия ОАО РЖД станция «Черкесск». Здесь дана общая характеристика организации. Проанализирована организационно-штатная структура организации, а так же применяемые системы защиты информации на предприятии ОАО РЖД станция «Черкесск».

В третьей главе разработаны рекомендации по организации системы защиты информации предприятия ОАО РЖД станция «Черкесск».

В заключении выполнен анализ проделанной работы, и оценены результаты исследования.

1 ИССЛЕДОВАНИЕ  ПРИНЦИПОВ ПОСТРОЕНИЯ СИСТЕМЫ  ЗАЩИТЫ ИНФОРМАЦИИ

 

1.1 Определение и основные понятия системы защиты информации

 

Система безопасности –  это комплекс организационных и  технических мер, предназначенных для защиты от любых отрицательных воздействий как изнутри, так и извне. Под техническими средствами систем безопасности понимается комплекс оборудования и технических решений, обеспечивающие контроль над охраняемым объектом. Системы безопасности сегодня – это высокотехнологичные программно-аппаратные комплексы, объединяющие в себе системы наблюдения, охраны периметра, пожарную и охранную сигнализацию, систему управления и контроля доступа [1].

Угроза – это потенциально возможное событие, действие, процесс  или явление, которое может привести к понятию ущерба чьим-либо интересам (рисунок 1).

 

Рисунок 1 – Виды угроз безопасности предприятия

Нарушение безопасности – это реализация угрозы.

Естественные угрозы – это угрозы, вызванные воздействием на АС объективных физических процессов, стихийных природных явлений, не зависящих от человека.

Естественные делятся  на:

• природные;
• технические.

Искусственные делят  на:

• непреднамеренные – совершенные по незнанию и без злого умысла, из любопытности или халатности;
• преднамеренные.

Классификация угроз  по способу их осуществления

В соответствии с данной классификацией угрозы компьютерной безопасности подразделяем на явные и скрытые.

Под явными понимаем такие  угрозы, которые понятны и однозначно предсказуемы. Они не требуют для противодействия им каких-либо дополнительных сведений о статистике угроз и неочевидных предположений о возможных атаках злоумышленника. Явные угрозы связаны с некорректной реализацией и настройкой системы защиты. К таковым могут быть отнесены:

• некорректность реализации механизма защиты;
• неполнота покрытия каналов доступа к информации механизмами защиты;
• некорректность (противоречивость) возможных настроек механизмов защиты.

Под скрытыми понимаем такие  угрозы, которые не очевидны, и требуют для противодействия им дополнительных предположений о возможных атаках злоумышленника.

Скрытые угрозы связаны  с нерегламентированными действиями пользователя, прежде всего посредством  запуска собственных программ, а  также с использованием злоумышленником ошибок и закладок в системном и прикладном ПО.

При этом скрытая угроза может быть охарактеризована двумя  свойствами:

• характеристикой объекта угрозы (например, учетная запись пользователя);
• общей характеристикой атаки злоумышленника (например, модификация учетной записи с применением собственно запущенной программы. Действий подобной программы множество, как известных, так и неизвестных).

С учетом сказанного можно  сделать следующий важнейший  вывод: любой механизм защиты должен проектироваться с учетом как явных, так и скрытых (в том числе и неизвестных) угроз информационной безопасности, так как только в этом случае можно говорить о возможности реализации механизмом защитных свойств.