Как составить ксзи

1. Этапы построения ксзи

В построении КСЗИ
можно выделить следующие этапы:

1. Подготовка
организационно-распорядительной
документации.

2. Обследование
информационной инфраструктуры Заказчика.

3. Разработка «Плана
защиты информации»

4. Разработка
«Технического задания на создание КСЗИ»

5. Разработка
«Технического проекта на создание КСЗИ»

6. Приведение
информационной инфраструктуры Заказчика
в соответствие с п. 5

7. Разработка
«Эксплуатационной документации на
КСЗИ»

8. Внедрение КСЗИ

9. Испытание КСЗИ

10. Проведение
экспертизы КСЗИ и получение «Аттестата
соответствия»

11. Поддержка и
обслуживание КСЗИ

В этапах № 1-11
принимают участие Исполнитель и Заказчик.
На этапе № 10 к работе подключается
Организатор экспертизы. На этапах № 4
и 10 участвует Контролирующий орган. Для
выполнения этапа № 6 и 8 могут привлекаться
Подрядчики.

После принятия
Заказчиком решения о создании КСЗИ
между Заказчиком и Исполнителем
подписывается договор о создании КСЗИ,
в котором должны быть описаны порядок
и сроки выполнения, а также стоимость
работ.

Комплексные системы
защиты информации (КСЗИ) представляют
собой совокупность: организационных
мероприятий и инженерно-технических
мероприятий направленных на обеспечение
защиты информации от разглашения, утечки
и несанкционированного доступа.

Организационные
мероприятия включают в себя создание
концепции информационной безопасности,
а также:

• составление
  должностных инструкций для пользователей
  и обслуживающего персонала;

• создание правил
  администрирования компонент информационной
  системы, учета, хранения, размножения,
  уничтожения носителей информации,
  идентификации пользователей;

• разработку планов
  действий в случае выявления попыток
  несанкционированного доступа к
  информационным ресурсам системы, выхода
  из строя средств защиты, возникновения
  чрезвычайной ситуации;

• обучение правилам
  информационной безопасности пользователей.

В случае необходимости,
в рамках проведения организационных
мероприятий может быть создана служба
информационной безопасности,
режимно-пропускной отдел, проведена
реорганизация системы делопроизводства
и хранения документов.

Выбор
инженерно-технических мероприятий
зависит от уровня защищенности информации,
который необходимо обеспечить.

Инженерно-технические
мероприятия, проводимые для защиты
информационной инфраструктуры
организации, могут включать использование
защищенных подключений, межсетевых
экранов, разграничение потоков информации
между сегментами сети, использование
средств шифрования и защиты от
несанкционированного доступа.

В случае необходимости,
в рамках проведения инженерно-технических
мероприятий, может осуществляться
установка в помещениях систем
охранно-пожарной сигнализации, систем
контроля и управления доступом.

Отдельные помещения
могут быть оборудованы средствами
защиты от утечки акустической (речевой)
информации.

1. Субъекты и объекты ксзи

Субъекты КСЗИ

В процесс создания
КСЗИ вовлекаются следующие стороны:

• организация, для
  которой осуществляется построение
  КСЗИ (Заказчик);

• организация,
  осуществляющая мероприятия по построению
  КСЗИ (Исполнитель);

• ФСТЭК России
  (Контролирующий орган);

• организация,
  осуществляющая государственную
  экспертизу КСЗИ (Организатор экспертизы);

• организация, в
  случае необходимости привлекаемая
  Заказчиком или Исполнителем для
  выполнения некоторых работ по созданию
  КСЗИ (Подрядчик).

Объекты КСЗИ

Объектами защиты
КСЗИ является информация, в любом ее
виде и форме представления.

Материальными
носителями информации являются сигналы.
По своей физической природе информационные
сигналы можно разделить на следующие
виды: электрические, электромагнитные,
акустические, а также их комбинации.

Сигналы могут быть
представлены в форме электромагнитных,
механических и других видах колебаний,
причем информация, которая подлежит
защите, содержится в их изменяющихся
параметрах.

В зависимости от
природы, информационные сигналы
распространяются в определенных
физических средах. Среды могут быть
газовыми, жидкостными и твердыми.
Например, воздушное пространство,
конструкции зданий, соединительные
линии и токопроводящие элементы, грунт
и другие.

В зависимости от
вида и формы представления информационных
сигналов, которые циркулируют в
информационно-телекоммуникационной
системе (ИТС), в том числе и в
автоматизированных системах (АС), при
построении КСЗИ могут использоваться
различные средства защиты.

Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]

• #
• #
• #
• #
• #
• #
• #
• #
• #
• #
• #

Создание комплексной системы защиты информации (КСЗИ) отражает системный подход к обеспечению информационной безопасности (ИБ) компании, предотвращению хищений и утечек информации ограниченного доступа, а также оптимизирует работу ИТ-системы предприятия, снижает капитальные и операционные затраты компании.

Принципы создания комплексной системы защиты информации:

• соответствие мер защиты КСЗИ реальным угрозам ИБ;
• соответствие требованиям законодательства, ведомственных нормативных документов в сфере обеспечения ИБ;
• интеграция с существующими процессами управления и средствами обеспечения ИБ;
• использование современных технических и программных средств защиты информации ведущих российских и зарубежных вендоров.

Основные функции КСЗИ по обеспечению ИБ:

• управление доступом (идентификация, аутентификация, авторизация и контроль доступа пользователей на всех уровнях корпоративной информационной системы — IDM);
• управление регистрацией и учетом, обеспечение целостности (средства защиты АРМ и серверов);
• регистрация событий информационной безопасности (SIEM);
• межсетевое экранирование, организация IPSec VPN и защищенного удаленного доступа;
• обнаружение и предотвращение вторжений (IPS/IDS);
• контроль и анализ защищённости;
• защита от вирусов и спама;
• предотвращение утечек и контроль доступа пользователей в интернет (DLP).

Основные модули КСЗИ и варианты их реализации:

При создании комплексной системы защиты информации могут дополнительно проводиться:

• защита персональных данных;
• защита автоматизированных систем управления технологическими процессами;
• консалтинговые услуги в области ИБ;
• защита ИТ-инфраструктуры для безопасного доступа в интернет;
• тестирование на проникновение (pentest) для оценки уровня безопасности ИТ-инфраструктуры через моделирование атак;
• аттестация информационно-управляющих систем;
• сертификация СЗИ;
• техническое сопровождение КСЗИ, расширяющее стандартные гарантийные обязательства.

Выгоды при внедрении комплексной системы защиты информации:

• соответствие требованиям законодательства в сфере обеспечения ИБ;
• высокий уровень защищенности и устойчивости функционирования ИТ-инфраструктуры (снижает ущерб от инцидентов ИБ);
• обеспечение режима правового и юридически защищенного использования информационных активов;
• создание основы для построения системы автоматизации процессов управления ИБ.

Какие продукты компании помогут создать КСЗИ:

Преимущества работы с компанией «Газинформсервис»:

Есть вопросы? Обратитесь к нашим специалистам

Информация – важнейший ресурс любой организации, который находится под угрозой утечки. Благодаря комплексной системе защиты информации (КСЗИ) удается защитить ее от разглашения и несанкционированного доступа. Система представляет собой комплекс организационных и инженерно-правовых мероприятий.

Цели и задачи комплексной системы защиты информации

Основные цели средств защиты информации – обеспечение стабильного функционирования компаний и предупреждение угроз безопасности информации. 

К задачам КСЗИ относятся:

• своевременное обнаружение и устранение угроз информационной безопасности;
• ограничение возможности несанкционированного перехвата сведений по каналам передачи;
• создание копий баз данных, критичных для предприятия, на случай их утраты;
• учет текущего состояния IT-инфраструктуры и прогноз изменений внешней и внутренней среды;
• восстановление информационных систем при повреждении.

Установите «систему видеонаблюдения» за событиями в IT-инфраструктуре! «СёрчИнформ SIEM» проводит мониторинг внутренней сети компании в реальном времени и сообщает об инцидентах. Узнать подробнее.

Внешние и внутренние угрозы информационной безопасности (ИБ)

Внешние угрозы (кибератаки) – реальная опасность, которая затрагивает интеллектуальную и физическую собственность организаций. Распространенная форма киберпреступности – применение специальных программ. Они способны нарушить целостность секретных документов. 

Перечень угроз, которые провоцирует вредоносное программное обеспечение (ПО), широк. К ним относятся:

• внедрение вирусов, разрушающих программное воздействие;
• распространение специальных программ для исследования сетевого трафика;
• блокировка работы пользователей системы с помощью программ;
• вскрытие программной защиты для приобретения несанкционированных прав, изменения или удаления информации. 

Как показывает практика, большую часть инцидентов провоцируют внутренние угрозы. Хищение интеллектуальной собственности, утечки коммерческой тайны и ущерб информационной системе могут нанести действия сотрудников. Такие действия могут быть совершены из корыстных соображений (злонамеренные), по неосторожности (случайные) или из-за некомпетентности человека. 

По данным исследования «СёрчИнформ» за 2018 год, рядовые сотрудники виноваты в 74% инцидентов. Посмотреть все цифры.

Злонамеренные действия чаще всего совершают:

• сотрудники, которые хотят заработать за счет организации-работодателя. Для этого они используют секретные ресурсы компании. К примеру, могут продать конкурентам базу данных постоянных клиентов;
• бывшие сотрудники, которые остались в плохих отношениях с организацией-работодателем. Они действуют, опираясь на личные побуждения. Их желание уволиться могло быть связано с понижением в должности или отказом организации предоставить расширенный социальный пакет. В результате уволенные действуют по аналогии с недобросовестными сотрудниками – используют важные сведения против компании;
• сотрудники-шпионы. Этот тип злоумышленников идентифицировать сложнее. Многие из них состоят в организованной преступной группе или в сговоре с конкурентами. Работники-шпионы специально обучены и нацелены на получение доступа к засекреченным сведениям. Их действия способны сильно навредить организации.

Но большинство инцидентов происходит по неосторожности и в результате технической безграмотности персонала. 

Утечка информации может произойти по причине:

• пересылки сведений по незащищенным каналам связи;
• скачивания на персональный компьютер программы, содержащей вирус;
• упоминания важных сведений в разговоре с посторонними людьми;
• потери технических средств, предназначенных для хранения сведений.

Особенности организационных и программно-аппаратных методик

Для обеспечения информационной безопасности существуют организационные и нормативно-правовые методики. Организационные методики включают в себя регламентацию деятельности предприятия в целом и деятельности сотрудников, связанной с обработкой данных, в частности. Это позволяет предотвратить незаконный доступ к засекреченным сведениям. 

К организационным методикам относятся:

• создание концепции информационной безопасности;
• тщательный подбор сотрудников на ответственные должности;
• составление должностных инструкций и обучение правилам ИБ всех работников;
• организация надежного пропускного режима на территорию предприятия;
• контроль работы сотрудников, имеющих доступ к секретным сведениям;
• обеспечение надежной физической охраны компании;
• организация автоматизированной обработки секретных сведений;
• тщательная разработка планов действий при обнаружении попыток незаконного доступа, копирования, изменения или удаления информационных ресурсов.

Во время принятия организационных мер и разработки соответствующей документации компании руководствуются гражданским кодексом РФ, федеральными законами и отраслевыми документами. Нормативно-правовые документы регламентируют обязанности сотрудников по обеспечению безопасности, список возможных угроз ИБ, состав информационной системы.

Если у организации нет ресурсов для создания полноценной службы ИБ, можно передать задачи по защите компании от внутренних угроз на аутсорсинг. Как это работает? 

Наряду с организационными методиками прибегают к технической защите информации. Она представляет собой комплекс технических средств, выбор которых напрямую зависит от типа и количества объектов защиты. Инженерно-техническая защита включает применение защищенных подключений, средств шифрования. Дополнительно часто устанавливают системы охранно-пожарной сигнализации. 

Основными методами защиты информации являются:

1. Антивирусная защита. Это специализированное программное обеспечение для обнаружения и уничтожения вирусов. Среди самых распространенных антивирусных программ выделяются Kaspersky и Dr.Web. Зачастую одна организация параллельно использует несколько антивирусов.

2. Шифрование (криптографические средства). Это процесс преобразования открытых данных в закрытые посредством секретного элемента – ключа шифрования. Шифрование гарантирует стабильную защиту информации.

3. Защита информации внутри сети (использование Virtual Private Network). Использование приватной сети для передачи данных включает несколько условий: туннелирование, шифрование и аутентификация. Туннелирование гарантирует передачу данных между узлами пользователей таким образом, что со стороны работающего программного обеспечения они будут выглядеть подключенными к одной сети. Пакет данных проходит сквозь различные узлы публичной сети. Для их защиты применяют электронную цифровую подпись. Это блок информационных ресурсов, который передается наряду с пакетом данных и формируется согласно криптографическому алгоритму. Он является исключительным для содержимого пакета и ключа электронной цифровой подписи отправителя. Блок информационных ресурсов дает возможность выполнить распознавание данных получателем, который знает ключ электронной цифровой подписи отправителя (аутентификация). Это гарантирует защищенность пакета данных.

4. Proxy servers. Обращения из локальной сети в глобальную сеть осуществляются посредством специальных серверов. Однако этот способ не дает 100% защиты против серьезных угроз (в частности, вирусов).

5. Межсетевые экраны (брандмауэры). Брандмауэры обеспечивают разделение сетей и предотвращают нарушения установленных правил безопасности пользователями. Контроль за передачей сведений происходит за счет фильтрации трафика; 
формирование контролируемых зон и установка активных систем зашумления.

20.09.2019

В данной статье разработан алгоритм проектирования комплексной системы защиты информации на предприятии энергетического комплекса. Данный алгоритм разработан с учетом особенностей предприятия и удовлетворяет принципам системности, комплексности и законности. Применение данного алгоритма не требует высококвалифицированных специалистов и больших денежных затрат.

Ключевые слова:предприятие энергетики, защита информации, АСУ ТП, КВО

Комплексная система защиты информации (КСЗИ) — система, которая охватывает все факторы, связанные с обеспечением конфиденциальности, целостности и доступности информации [1]. Согласно принципам комплексного подхода для создания системы, сначала необходимо определить следующие составляющие: начальные элементы, ресурсы, назначение, критерий эффективности.

Начальными элементами в рамках построения КСЗИ являются информационные активы, потенциальные нарушители, возможные угрозы и другие элементы, которые существуют вне зависимости от нашей СЗИ (Рисунок 1).

Рис. 1. Начальные элементы КСЗИ

Ресурсы — это средства, которые используются при создании КСЗИ. В их число входят человеческие, материальные, временные и другие ресурсы.

Назначение — это основная цель, для которой создается КСЗИ. От точности формулировки цели зависит скорость и качество построения КСЗИ. В общем виде целью является защита информации. При более четкой формулировке можно, например, получить следующую цель: «обеспечение конфиденциальности персональных данных клиентов при их передаче по каналам связи». Определив назначение системы, необходимо описать ее функционал, т. е. перечислить ее конкретные возможности.

Как правило, на практике существует несколько путей построения системы. Для того, чтобы определить, какой из путей наиболее эффективен, необходимо ввести критерий эффективности, который должен учитывать затраченные ресурсы, качество системы, а также иметь количественный показатель.

Кроме того, каждый элемент должен соответствовать определенным принципам [2], таким как принцип законности, комплексности, своевременности и т. д.

Рис. 2. Принципы создание КСЗИ

Принцип законности заключается в соответствии принимаемых мер законодательству РФ и иным нормативным документам.

Принцип полноты заключается в том, что защищать необходимо всю информацию, компрометация которой может нанести ущерб (материальный, моральный или другой), а также информацию, защищать которую требует законодательство.

Согласно принципу обоснованности, необходимо защищать только ту информацию, защищать которую есть определенные причины. Например, информацию, утечка которой нанесет экономический ущерб. Данный принцип позволяет мобилизовать все силы на защите той информации, которая представляет ценность, тем самым сократить затраты на защиту неценной информации.

Специализированные подразделения по защите информации являются неотъемлемой частью КСЗИ, так как только квалифицированные и компетентные кадры способны обеспечить необходимый уровень ЗИ.

Принцип ЗИ всех соприкасающихся с ней лиц заключается в том, что защита информация является должностной обязанностью лиц, обрабатывающих её.

Согласно принципу персональной ответственности, каждый сотрудник должен нести дисциплинарную, административную и иную ответственность за нарушение правил по обеспечению защищенности информации.

Принцип использования всех необходимых правил и средств заключается в контроле соблюдения всех правил по защите информации. Этот процесс критически важен, так как при невыполнении одного правила, остальные теряют смысл.

Принцип превентивности предполагает заблаговременное, опережающее принятие мер еще до начала разработки или получения информации. Для реализации принципа превентивности необходимо понимать, как различные субъекты системы воздействуют друг на друга.

Перед разработкой алгоритма создания КСЗИ для предприятия энергетики необходимо выделить основные особенности, присущие рассматриваемому предприятию, к ним могут относится:

– территориальная распределённость

– включают в себя несколько локальных АС

– обрабатывают различные виды информации: ПДн, коммерческая тайна

– уже имеют определенные средства защиты и организационные меры по защите информации

– актуальны как внешние, так и внутренние нарушители

Алгоритм должен учитывать все эти особенности, чтобы с наименьшими затратами и с максимальной эффективностью создать КСЗИ. Поэтому на начальном этапе необходимо собрать и проанализировать информацию о предприятии. В этот этап входит процесс изучения информационных потоков. Необходимо определить, какая информация подлежит защите, а какая является открытой. Для этого производится категорирования информации.

Так как большинство предприятий чаще всего уже имеют некоторые средства защиты, то, с целью максимально эффективного использования имеющихся средств, необходимо собрать все информацию о них и заблаговременно оценить их роль в планирующейся КСЗИ.

Изучив и проанализировав текущее состояние предприятия необходимо определить возможных нарушителей ИБ и актуальные угрозы при помощи нормативных документов. На этом заканчивается этап сбора и анализа информации о предприятии и начинается этап проектирования КСЗИ.

На этапе проектирования важным шагом является определение требований нормативных документов к КСЗИ [3]. К ним относятся федеральные законы в области ИБ, приказы ФСТЭК, ФСБ, постановления правительства, указы президента. Законодательство регламентирует минимальны набор мер по защите информации.

Далее необходимо определить меры, нейтрализующие актуальные угрозы. К ним относятся внедрение программно-аппаратных, инженерно-технических средств, а также разработка внутриорганизационной документации. Далее необходимо составить адаптивный набор мер, который включает в себя базовый набор и набор мер, нейтрализующий актуальные угроз.

Следующим шагом является выбор и внедрение средств защиты. Это должно быть комплексным процессом т. к. необходимо заранее продумать всю систему так, чтобы средства дополняли друг друга и их функционал использовался на 100 %, так выполняется принцип превентивности. Алгоритм создания КСЗИ для предприятия энергетического комплекса можно представить в виде схемы (Рисунок 3).

Рис. 3. Цикл создания КСЗИ

Стоит отметить, что процесс создания КСЗИ предприятия энергетики представлен в виде цикла т. к. система нуждается в постоянном сопровождении и модернизации. Процесс модернизации сопровождается постоянным анализом защищенности, анализом угроз и нарушителей.

Таким образом, был разработан был разработан алгоритм проектирования КСЗИ для предприятия энергетики с учетом особенностей предприятия. Данный алгоритм удовлетворяет принципам системности, комплексности и законности. Применение данного алгоритма не требует высококвалифицированных специалистов и больших денежных затрат.

Литература:

1. Гришина М. В. Организация комплексной системы защиты информации: Учебное пособие.- Гелиос АРВ.-2007.-340 с
2. Ахлюстин С. Б. Модель нарушителя в задачах анализа надежности информационных систем// Вестник воронежского института МВД.- 2013
3. Бердникова О. И. Алгоритм разработки и внедрения системы защиты информации// Вестник Северного (Арктического) федерального университета. Серия: Естественные науки.-2014.-№ 3.-с. 139–142