Защита информации в корпоративных сетях экономических ис. В наше время общество всецело зависит от получаемых, обрабатываемых и передаваемых данных. По этой причине данные сами по себе приобретают высокую ценность. И тем больше цена полезной информации, ч

Неоднородность сферы деятельности различных организаций, фирм, банков делает объективно необходимым конкретизацию стра­тегий защиты информации и управления ими в случае серьезного нарушения или кризиса. Такой подход побуждает разрабатывать различные концепции информационной безопасности в зависимости от размеров организации (малый, средний, крупный), сфер деятель­ности (финансовая, банковская, производственная, торговая), на­циональных региональных особенностей. Анализ информационных рисков включает определение того, что нужно защищать, от кого и как защищаться. Рациональный уровень информационной безопас­ности выбирается в первую очередь из соображений экономической целесообразности.

Корпорация - это объединение организаций, лиц на основе со­вместных, профессиональных интересов, одна из форм акционер­ного общества для крупного бизнеса, в том числе банковского.

Для крупных корпораций характерна сложная, территориально- распределенная структура с многоуровневым и многозвенным по­строением. Масштабы деятельности и объемы выпускаемой про­дукции, услуг могут носить региональный, глобальный характер.

Характерной и отличительной особенностью корпоративных вычислительных сетей является то, что их построение осуществля­ется, как правило, на протяжении нескольких лет. В таких сетях функционирует оборудование разных производителей и разных по­колений, т.е. оборудование, как самое современное, так и устарев­шее, не всегда изначально ориентированное на совместную работу, передачу и обработку данных. По мере количественного и качест­венного развития корпоративных сетей задача управления ими все более усложняется, требует новых средств управления сетями в масштабах всего предприятия. Такие средства должны быть незави­симы от протоколов, масштабируемы и должны обеспечивать цен­трализованное управление сетью.

В настоящее время потребители ищут решения по объединению разрозненных филиалов не только в рамках одной корпорации, но и регионов по стране в целом. Основная цель объединения филиа­лов - создание единого информационного пространства и единых сервисных функций. Современные решения позволяют предоста­вить потребителям единую систему управления и контроля (мони­торинга) ресурсов корпоративной сети, снижение затрат, объедине­ние сетей передачи данных и телефонии, защиту от несанкциони­рованного доступа.

Информационный ресурс корпоративного уровня особенно уяз­вим и требует качественной и надежной защиты, так как информа­ционная структура организаций корпоративного типа разнородна, состоит из набора распределенных систем, технологий, баз и бан­ков данных и локальных задач.

В крупных организациях разные виды деятельности имеют раз­ную информационную поддержку. Данные разных подразделений (при отсутствии их интеграции) могут дублироваться, храниться в разных форматах, дополнять друг друга в какой-то предметной об­ласти и при этом быть недоступными специалистам и т.д. Корпора­ция нередко не имеет возможности использовать все разнообразие информационных ресурсов в полной мере. Такое положение за­трудняет, усложняет и удорожает создание и надежное функциони­рование систем защиты.

Так как в свое время проблемы безопасности информационных технологий решались в нашей стране в основном для защиты госу­дарственной тайны, то теперь настоятельно требуют решения спе­цифичные проблемы защиты банковского или иного бизнеса и только теперь они интегрируются с мировой системой. Защита информации в той или иной сфере хозяйственной деятельности имеет ряд сущест­венных особенностей, связанных с влиянием на организацию ин­формационной безопасности. Наиболее важные из них:

Приоритет экономических, рыночных факторов и отношений собственности;

Использование открытых систем, создание подсистемы защи­ты информации из средств широко доступных на рынке;

Юридическая значимость информации, которая обеспечивает юридическую защиту документов, информационных ресурсов, информационных процессов в соответствии с установленным законодательством Российской Федерации.

Необходимость обмена информацией не только между террито­риально разнесенными пользователями корпорации, но и с внешним миром, требует использования глобальных мировых сетей. При под­ключении к Интернету работа с его сервисами существенно увели­чивает поле угроз информации, обрабатываемой в корпорации.

Сервисы Интернета делятся на открытые и закрытые. Открытый сервис предполагает взаимодействие пользователей корпорации с внешними структурами. Закрытый сервис распространяется на поль­зователей сети корпорации, в том числе и удаленных. Интергриро- ванный сервис Интернета предоставляет одновременно сервис закры­того и открытого типов.

Для целей информационной безопасности корпорации создается необходимая инфраструктура, используются надежные программы взаимодействия с Интернетом, что требует соблюдения следующих правил при работе корпорации с Интернетом:

Тщательно сохранять пароль и при подозрении менять его;

Не оставлять компьютер без присмотра во время сеанса связи;

Получив необходимые сведения, полностью закончить сеанс связи перед посещением других сайтов;

Использовать кодирование сообщений, происходящих по сети и другое.

При создании корпоративных сетей учитываются законодатель­ные акты о защите информации, разрабатываются нормы ответст­венности за нарушение информационной безопасности. Современ­ная компьютерная глобализация сетей - это практически никем не контролируемое пространство, которое постоянно пополняется ме­габайтами различной информации. Под видом полезной информа­ции компьютеры поражаются различными вирусами (вредоносными программами). Через Интернет могут быть атакованы, похищены конфиденциальные данные, разрушены базы данных и т.д.

Можно сформулировать следующие основные требования к за­щите корпоративных сетей, объектов информации от вредоносных программ.

Использование в работе лицензионно чистых программных средств, технических средств и средств защиты.

Проведение аттестации объектов информации на соответствие требованиям нормативных документов по защите, включая испыта­ния на наличие недекларированных возможностей.

Определение и фиксация перечня допустимых к использо­ванию программных средств, категорический запрет применения не включенных в комплект программных средств.

Использование для защиты современных антивирусных средств борьбы с вредоносными программами и обеспечение их своевремен­ного обновления.

Разработка необходимых организационно распорядительных документов по защите объектов от вредоносных программ и кон­кретизация методов профилактики по недопущению их попадания в сеть, обеспечение осведомленности пользователей об общих признаках появления вредоносных программ.

Разработка методов резервирования, сохранения и восста­новления программного обеспечения и информационных ресурсов при их заражении или поражении вирусами, обеспечив при этом надежное хранение исходных образцов программных средств и информационных ресурсов в безопасном месте.

Обеспечение регулярных проверок компьютерных средств на предмет заражения вредоносными программами.

Кроме законодательного не менее важным является управленче­ский уровень. Руководство каждой корпорации должно осознавать необходимость поддержания режима безопасности и выделения на эти цели соответствующих ресурсов. Главное, что должен осущест­вить управленческий уровень, - это выработать политику обеспе­чения информационной безопасности, соответствующую общему направлению работ предприятия.

Главная цель мер, предпринимаемых на управленческом уровне, - формирование программы работ в области информационной без­опасности и обеспечение ее выполнения. В задачу управления вхо­дит выделение необходимых ресурсов и контроль за состоянием дел. Основой программы является многоуровневая политика без­опасности, отражающая подход организации к защите своих инфор­мационных активов и интересов. Использование информационных систем связано с определенной совокупностью рисков. Когда риск неприемлемо велик, необходимо предпринять защитные меры. Пе­риодическая переоценка рисков необходима для контроля эффек­тивности деятельности в области безопасности и для учета измене­ния обстановки.

Для поддержания режима информационной безопасности осо­бенно важны программно-технические меры и средства, поскольку основная угроза компьютерным системам находится в них: сбои обо­рудования, ошибки программного обеспечения, промахи пользова­телей и администраторов и т.п.

Ключевыми механизмами обеспечения информационной безо­пасности корпоративных сетей являются:

Идентификация и аутентификация;

Управление доступом;

Протоколирование и регистрация;

Криптография и сетевая защита;

Экранирование.

Экранирование в корпоративных сетях выполняется с помощью межсетевых экранов. Межсетевой экран предотвращает возможность нарушения пользователями установленных администраторами правил безопасности информации. Экран не позволяет доступа к серверам, которые не требуются для выполнения служебных обязанностей поль­зователей.

Межсетевые экраны могут быть реализованы программно и ап- паратно. Программные реализации дешевле, но менее производи­тельны и требуют значительных ресурсов компьютерной системы. Аппаратные межсетевые экраны выпускаются как специальные аппа­ратно-программные технические комплексы, работающие под управ­лением специализированных или обычных, операционных систем, модифицированных для выполнения защитных функций.

1. Ориентироваться необходимо только на сертифицированные продукты.

2. Выбирать следует того поставщика систем защиты, который обеспечит полный комплекс обслуживания, т.е. не только продажу и гарантии, предоставляемые всеми, но и услуги по установке и на­стройке (при необходимости), по обучению сотрудников работе со средствами защиты, по сопровождению приобретенных систем.

3. Выбирать систему защиты, обеспечивающую разграничение доступа в различных операционных системах.

4. Ориентироваться следует на системы с лучшими эксплуатаци­онными характеристиками, такими, как: высокая надежность, со­вместимость с различным программным обеспечением, минималь­ное снижение производительности рабочей станции, обязательное наличие средств централизованного управления защитными меха­низмами с рабочего места администратора безопасности, оператив­ное оповещение администратора обо всех событиях НСД на рабо­чих станциях.

5. При выборе обращать внимание не только на стоимость по­добных средств, но и на уровень предполагаемых расходов на их экс­плуатацию и сопровождение.

Обработка сведений, составляющих коммерческую тайну, требу­ет обеспечения их безопасности и тщательной проектной работы на стадии создания ИС. Проектирование включает: обследование ав­томатизированной системы и разработку организационно-распоряди­тельных документов; выбор, приобретение, установку, настройку и эксплуатацию средств защиты; обучение персонала работе с имею­щимися средствами защиты; информационное обслуживание по вопросам безопасности; периодический аудит системы информаци­онной безопасности.

Желательно, чтобы подобные работы были выполнены про­фессионалами, так как просчеты на этапе обследования и проек­тирования системы информационной безопасности могут обер­нуться серьезными проблемами и потерями при ее построении и эксплуатации.

С учетом особенностей корпоративной сети разработанные до­кументы должны предусматривать решение следующих задач:

Защиту от проникновения в корпоративную сеть и от утечки информации из сети по каналам связи;

Разграничение потоков информации между сегментами сети;

Защиту наиболее критичных ресурсов сети от вмешательства в нормальный процесс функционирования;

Защиту важных рабочих мест и ресурсов от несанкциониро­ванного доступа (НСД);

Криптографическую защиту наиболее важных информацион­ных ресурсов.

В настоящее время не существует ни одного готового решения (аппаратного, программного или иного), обеспечивающего реализа­цию функций одновременно всех перечисленных задач.

Объясняется это тем, что, с одной стороны, требования каждого конкретного пользователя по выполнению тех или иных защитных мероприятий существенно различаются, и, с другой стороны, каждая из задач решается с помощью специфических средств. Рассмотрим некоторые реализующие эти функции средства.

Защита от проникновения в сеть и от утечки информации из сети. В качестве основного средства, позволяющего реализовать подобную угрозу, рассматривается канал подключения корпоративной сети к глобальной сети Интернет.

Применение межсетевых экранов является наиболее распростра­ненным решением. Они позволяют определить и реализовать прави­ла разграничения доступа, как для внешних, так и для внутренних пользователей корпоративной сети, скрыть при необходимости структуру сети от внешнего пользователя, блокировать отправку информации по «запретным» адресам и, наконец, просто контроли­ровать применение Интернета.

Разграничение потоков информации между сегментами сети. В зависимости от характера обрабатываемой в том или ином сегменте сети информации и от способа взаимодействия между сегментами реализуют разные варианты. Наиболее частым является применение межсетевых экранов, которое рекомендуется при организации взаимодействия между сегментами через сеть Интернет. Как прави­ло, данный способ используется тогда, когда в сети уже имеются межсетевые экраны, предназначенные для контроля за потоками ин­формации между внутренней сетью и Интернетом, что позволяет предотвратить лишние расходы - более полно используются воз­можности имеющихся средств.

Защита наиболее критичных ресурсов сети от вмешательства в нормальный процесс функционирования является первоочередной. Наиболее критичными ресурсами в корпоративной сети являются серверы. Основным способом вмешательства в нормальный процесс их функционирования является проведение атак с использованием уязвимых мест сетевого аппаратного и программного обеспечения. При этом атака может быть реализована как из внешней (Интернет), так и из внутренней сети, например, одним из штатных сотрудников. Основная проблема заключается не только в своевременном обна­ружении и регистрации атаки, что позволяют сделать многие сред­ства, но и в противодействии ей, так как даже поимка злоумыш­ленника (на основе результатов регистрации) будет служить слабым утешением, если корпоративная сеть будет парализована на некото­рое время из-за успешно проведенного нападения.

Защита важных рабочих мест и ресурсов от несанкционирован­ного доступа имеет следующие особенности. До настоящего време­ни многие автоматизированные системы работали и продолжают работать, ориентируясь только на встроенные защитные механизмы различных операционных систем (как правило, сетевых), что обес­печивает достаточную защиту (при правильном администрирова­нии) информации на серверах. Но количество серверов составляет в корпоративной сети 1-3% общего числа рабочих станций, на кото­рых и производится обработка защищенной информации. При этом подавляющее большинство рабочих станций (примерно 90%) рабо­тает под управлением MS DOS или Windows и не имеет никаких средств защиты, так как эти операционные системы не содержат встроенных защитных механизмов.

Возникает ситуация - на незащищенном рабочем месте может обрабатываться важная информация, доступ к которой ничем не ограничен. Именно в этих случаях рекомендуется применять до­полнительные средства защиты, в частности средства криптографи­ческой защиты (для защиты криптографических ключей); регламен­тирование и протоколирование действий пользователей; разграни­чение прав пользователей по доступу к локальным ресурсам.

Криптографической защите подвергаются наиболее важные ин­формационные ресурсы. Шифрование является надежным способом защиты данных от ознакомления и использования другими людьми в своих целях. Особенностью подобных средств в России является то, что их применение жестко регламентируется законами. В настоящее время информационные продукты, предназначенные для шифрова­ния в корпоративных сетях, устанавливаются только на тех рабочих местах, на которых хранится информация, имеющая очень высокую важность, или обрабатываются электронные денежные платежи (например, в системах «Банк-клиент»).

Для всесторонней защиты корпоративных информационных систем и технологий рекомендуется использование программно-технических средств крупных компаний. Они способны предоставить более полный спектр услуг и средств и в более технологичном исполнении.

Так как защита информации в корпорациях вопрос комплексный, то никакие средства цифровой подписи и шифрования не помогут, если не рассмотрены остальные составляющие защиты. Большинство корпоративных структур практически не рассматривают угрозу утечки информации по техническим каналам (по системам электропитания, телефонным линиям, инженерным сооружениям, устройствам не­гласного снятия информации и т.д.) как реальную, хотя, по данным ряда организаций, занимающихся вопросами защиты информации, это один из самых распространенных в настоящее время каналов хищения информации.

Контроль качества защиты информации на объектах находится в ведении организаций, прошедших специальную экспертизу и ак­кредитованных в общей системе сертификации. Они несут полную юридическую и финансовую ответственность за свои действия. В настоящее время на рынке услуг в этой области существует две ка­тегории организаций: имеющие лицензию, но не аккредитованные Гостехкомиссией (в настоящее время - Федеральная служба по техническому и экспортному контролю) как органом аттестации, и обладающие и лицензией, и аккредитаций. Разница между ними состоит в том, что хотя и те и другие могут проводить проверки ор­ганизаций, относящихся к первой категории (чаще всего это орга­низации - субподрядчики), не имеют права утверждать аттестат соответствия и должны обращаться за этим в один из органов по аттестации, либо непосредственно в Гостехкомиссию.

Каждому корпоративному предприятию, банку в зависимости от конкретных условий его работы требуется персонализированная сис­тема защиты информации. Построение такой системы возможно лишь фирмами, имеющими лицензию на указанный характер деятельности.

На примере банка персонализированная система защиты ин­формации должна быть адекватной уровню важности и секретности информации. Ее стоимость не должна превосходить возможный ущерб от нарушения безопасности охраняемой информации. Но в то же время преодоление системы защиты должно быть экономиче­ски нецелесообразно по сравнению с возможной выгодой от полу­чения доступа, уничтожения, модификации или блокировки защи­щаемой информации. Для определения адекватности стоимости системы защиты следует сопоставить размеры ущерба и вероятность его нанесения с размерами затрат на обеспечение защиты. Так как реальную стоимость информации оценить довольно сложно, поэто­му часто применяются качественные экспертные оценки. Инфор­мационные ресурсы классифицируют как критичные при ведении бизнеса, в случае их особой важности в каком-либо деле и т.д.

Уровень защищенности информации формально должен опре­деляться исходя из уровня конфиденциальности обрабатываемой информации, уровня ущерба от нарушения защиты. Определение требуемого уровня конфиденциальности - прерогатива руководства банка. Он может меняться в широких пределах в зависимости от стратегических и тактических целей банка, применяемой техноло­гии обработки информации, частного мнения руководства, состава обслуживающего персонала, состава автоматизированных средств и множества иных причин. Важными при определении уровня кон­фиденциальности информации являются требования законодатель­ной базы и государственных структур.

Степень защищенности информации в автоматизированных банковских системах определяется также конкретизированным по­лем угроз нарушения конфиденциальности. Полный перечень угроз в современном компьютеризованном мире составляет не одну стра­ницу. Конкретизированную оценку вероятности появления каждой угрозы следует определять на конкретной банковской системе.

Существующие сегодня на рынке программные продукты в от­ношении методов защиты информации содержат систему разграни­чения доступа. Мероприятия по вводу нового пользователя в систе­му с организационной точки зрения остаются на усмотрение служб безопасности. Примером может служить заполнение анкеты на пра­во доступа к системе, в которой содержится перечень функцио­нальных задач, перечень операций в конкретной функциональной задаче, перечень действий, разрешенных оператору к выполнению. Анкету утверждают руководство банка, служба безопасности, служ­ба сопровождения. После этих действий, оператору для входа в сис­тему необходимо знать два пароля: пароль супервизора для физиче­ского входа в компьютер и личный пароль для входа в систему.

В большинстве случаев компьютерные преступления соверша­ются сотрудниками банка. Некоторые банки предпочитают содер­жать штат разработчиков программного обеспечения. Разработчику системы известно о системе все, все ее слабые места, он знает, как можно модифицировать информацию так, чтобы об этом не узнал никто. Никто, кроме него, не может лучше осуществлять сопровож­дение системы. Как показывает практика, осуществлению компью­терных преступлений способствует нарушение регламента и правил архивирования информации.

В настоящее время общество в целом зависит от компьютеров, поэтому сегодня проблема информационной безопасности - про­блема всего общества.

Защита информации стала самостоятельной, динамично разви­вающейся отраслью науки, техники и технологий. Современные тен­денции в защите информации следуют общим тенденциям развития компьютерных систем и технологий: интегрированность, стандарти­зация, переносимость, прозрачность.

Разработки в области безопасности информации продолжают бурно развиваться. Спрос на программные продукты с гарантией ин­формационной безопасности увеличивается. Наиболее актуальными остаются сетевые проблемы.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Размещено на http://www.allbest.ru/

• Введение
• 1.3 Основные положения системы защиты информации
• 2.1 Объекты и субъекты защиты
• 2.3 Современные технологии защиты информации
• 2.4 Обоснованность защиты информации
• Перечень нормативных документов, регламентирующих деятельность в области защиты информации:
• 3. Совершенствование мероприятий, направленных на повышение эффективности мер по защите корпоративной информационной системы Дистанции электроснабжения
• 3.1 Недостатки организации защиты корпоративной сети
• 3.2 Организационные мероприятия
• 3.3 Инженерно-технические мероприятия
• Заключение
• Библиографический список

Введение

Современное развитие мировой экономики характеризуется все большей зависимостью рынка от значительного объема циркулирующей информации внутри его.

В наше время общество всецело зависит от получаемых, обрабатываемых и передаваемых данных. По этой причине данные сами по себе приобретают высокую ценность. И тем больше цена полезной информации, чем выше ее сохранность.

Актуальность темы обусловлена действием ряда факторов, которые направлены на совершенствование защиты корпоративной информационной системы, с целью совершенствования хозяйственного механизма современных предприятий, работающих в рыночной экономике и применения современных технологических разработок.

В виду вышесказанного, законодательными актами, как в России, так и зарубежных стран предусматривают немалое количество норм, направленных на регулирование создания, пользования, передачи и защиты информации во всех ее формах.

Особой ценностью обладает информация, несущая в себе персональные данные, служебную тайну, коммерческая тайну, информацию ограниченного доступа, банковскую тайну, государственную тайну, инсайдерская информация, конфиденциальная информация и иная информация.

Проблема защиты информации является многоплановой и комплексной, требующей необходимого сочетания применяемых законодательных, организационных и программно-технических мер.

Утечка любой информации может отразиться на деятельности предприятия. Особую роль играет та информация, потеря корой может повлечь большие изменения в самом предприятии и материальные потери.

В повседневной жизни человека сохранность информации о его жизни зависит от него самого. Но совсем другая ситуация, когда мы обязаны предоставить данные о себе в соответствии с законом третьему лицу, а конкретно - работодателю. Работник в данной ситуации передает конфиденциальную информацию о себе на ответственное хранение. Далее за сохранность данных отвечает уже работодатель. Он обязан оберегать сведения о работнике от посягательств третьих лиц и нести ответственность за распространение указанных данных.

Цель этой работы заключается в определении требований к системе защиты корпоративной информационной системы.

Задачи работы:

1. Выявить проблемные вопросы системы защиты корпоративной информационной системы дистанции электроснабжения.

2. Сформулировать перечень угроз и требований к системе защиты корпоративной информационной системы дистанции электроснабжения.

3. Обосновать структуру информационных рисков для корпоративной информационной системы дистанции электроснабжения.

4. Выбрать и обосновать методы и технические средства, направленные на повышение эффективности защиты корпоративной информационной системы дистанции электроснабжения.

Объект исследования - типовая система защиты корпоративной информационной системы "интрасеть" Московско - Смоленской Дистанции электроснабжения филиала ОАО "РЖД", имеющей собственные здания и территорию.

Предмет исследования - методы и технические средства защиты корпоративной информационной системы дистанции электроснабжения.

Практическая значимость и внедрение полученных результатов позволило создать мероприятия по организации защиты корпоративной сети, адаптированной к конкретным условиям с учетом специфики объекта и различной категории информации и пользователей.

Авторы, исследующие проблематику А.В. Соколов (профессор, заведующий кафедрой информатики и программного обеспечения Московского института электронной техники) и В.Ф. Шаньгин (профессор, доктор технических наук) с 1978 года по настоящее время освещают актуальные вопросы защиты информации при использовании распределенных корпоративных систем и сетей масштаба предприятия, защиты internet.

защита информация корпоративная сеть

1. Теоретические основы построения корпоративной сети

1.1 Понятие, компоненты, функционирование корпоративной сети

Корпоративная сеть - это сложная система включающая множество разнообразных компонентов: компьютеры разных типов, начиная с настольных и кончая мейнфремами, системное и прикладное программное обеспечение, сетевые адаптеры, концентраторы, коммутаторы и маршрутизаторы, кабельную систему. В данной работе будет рассматриваться интрасеть Московско-Смоленской Дистанции электроснабжения филиала ОАО "РЖД". Это обособленное структурное подразделение железной дороги, которое входит в состав службы электрификации и электроснабжения. Обеспечивает бесперебойное и надежное питание всех потребителей электроэнергией, а также обеспечения надежного функционирования всех объектов и устройств, контактной сети в пределах обслуживаемого участка.

Функциональные возможности интрасети охватывают очень широкий спектр - начиная от работы со статическими Web-страницами, которые заменяют корпоративные печатные документы или обеспечивают новый способ совместного использования информации и кончая сложными клиентскими интерфейсами для офисных серверных приложений.

Технологии, необходимые для интрасети и реализующие их средства, широко распространены. К ним относятся: протокол TCP/IP, сетевая файловая система NFS (Network File System), Web-браузер (программа поиска и просмотра системы), Web-сервер, HTML-редактор, электронная почта и тому подобное. Доступ к информации осуществляется на основе IP-соединений.

Интрасеть состоит из нескольких компонентов :

1) сетевой инфраструктуры,

2) серверов,

3) документов,

4) браузеров,

5) приложений.

Интрасеть является основой, обеспечивая необходимые соединения, предоставляющие доступ к информации для сотрудников организации. Для осуществления соединения и обмена данными интрасеть использует сетевой протокол TCP/IP. TCP/IP дает возможность уникального именования компьютеров в сети (эти имена называют IP-адресами). Этот протокол также обеспечивает механизм, при помощи которого компьютеры могут находить друг друга и соединяться. Интрасеть использует еще один протокол HTTP (Hypertext Transfer Protocol). Он применяется для передачи текстов, изображений и гиперссылок (то есть связей с другими электронными документами), указывающих на Web-страницы. Можно сказать, что TCP/IP - это основной способ, при помощи которого компьютеры связываются в сети, a HTTP - некий верхний уровень, дающий им возможность обмениваться информацией.

Серверы. Информация чаще всего находится на компьютерах, которые обычно называют Web-серверами. Сервер хранит документы и выполняет запросы пользователей о поиске и просмотре данных.

Документы. Содержимое интрасети - то есть просматриваемая информация - хранится в документах. По умолчанию они имеют формат HTML (Hypertext Makeup Language) - текстовый формат, состоящий из собственно текста, тегов, управляющих форматированием, и гиперссылок, указывающих на другие документы.

Браузеры. Для работы в интрасети и просмотра документов, хранящихся на серверах, применяют приложения, называемые браузерами. Они выполняют несколько функций:

поиск информации и подключение к Web-серверу;

загрузка, форматирование и вывод на экран документов на языке HTML;

распознавание и переход к соответствующим документам;

Приложения. Приложения пишутся разработчиками для решения определенных задач фирмы.

Кроме разнообразного сетевого оборудования, интрасеть состоит из следующих программных компонент:

1) программного обеспечения внутреннего Web-сервера организации, содержащего сведения о деятельности фирмы (цены, распоряжения руководства, документы для согласования и обсуждения и тому подобное и соединенного с имеющимися базами данных ("Склад", "Бухгалтерия" и так далее);

2) программных средств для проведения конференций внутри организации для обсуждения предложений по улучшению работы, сообщения о различных мероприятиях и тому подобное.;

3) Программное обеспечение реализующих работу электронной почты.

В интрасети могут существовать сегменты с разной степенью защищенности:

свободно доступные (различные серверы);

с ограниченным доступом;

закрытые для доступа.

Корпоративную сеть дистанции электроснабжения целесообразно рассмотреть как систему, состоящую из нескольких взаимодействующих слоев. В основании пирамиды, представляющей корпоративную сеть, лежит слой компьютеров - центров хранения и обработки информации, и транспортная подсистема, обеспечивающая надежную передачу информационных пакетов между компьютерами.

Рисунок 1. Иерархия слоев корпоративной сети

Над транспортной системой работает слой сетевых операционных систем, который организует работу приложений в компьютерах и предоставляет через транспортную систему ресурсы своего компьютера в общее пользование.

Над операционной системой работают различные приложения, но из-за особой роли систем управления базами данных, хранящих в упорядоченном виде основную корпоративную информацию и производящих над ней базовые операции поиска, этот класс системных приложений обычно выделяют в отдельный слой корпоративной сети.

На следующем уровне работают системные сервисы, которые, пользуясь СУБД, как инструментом для поиска нужной информации среди миллионов байт, хранимых на дисках, предоставляют конечным пользователям эту информацию в удобной для принятия решения форме, а также выполняют некоторые общие для предприятий всех типов процедуры обработки информации. К этим сервисам относится система электронной почты, системы коллективной работы и многие другие.

Верхний уровень корпоративной сети представляет специальные программные системы, которые выполняют задачи, специфические для данного предприятия или предприятий данного типа.

Конечная цель корпоративной сети воплощена в прикладных программах верхнего уровня, но для их успешной работы абсолютно необходимо, чтобы подсистемы других слоев четко выполняли свои функции.

Основная задача системных администраторов состоит в том, чтобы эта громоздкая система как можно лучше справлялась с обработкой потоков информации циркулирующих между сотрудниками предприятия и позволяла принимать им своевременные и рациональные решения, обеспечивающие работу предприятия.

Интрасеть Московско-Смоленской Дистанции электроснабжения ОАО "РЖД" изолирована от внешних пользователей Internet и функционирует как автономная сеть, не имеющие доступа извне.

Рисунок 2. Структура локальной сети

1.2 Анализ источников угроз и информационных рисков

Все информационные ресурсы фирмы постоянно подвергаются объективным и субъективным угрозам утраты носителя или ценности информации. Под угрозой или опасностью утраты информации понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление неблагоприятных возможностей внешних или внутренних источников угрозы создавать критические ситуации, события, оказывать дестабилизирующее воздействие на защищаемую информацию, документы и базы данных. Для информационных ресурсов ограниченного доступа диапазон угроз, предполагающих утрату информации (разглашение, утечку) или утерю носителя, значительно шире в результате того, что к этим документам проявляется повышенный интерес со стороны различного рода злоумышленников. Основной угрозой безопасности информационных ресурсов ограниченного распространения является несанкционированный (незаконный, неразрешенный) доступ злоумышленника или постороннего лица к документированной информации и как результат - овладение информацией и противоправное ее использование или совершение иных дестабилизирующих действий. Целями и результатами несанкционированного доступа может быть не только овладение ценными сведениями и их использование, но и их видоизменение, модификация, уничтожение, фальсификация, подмена и тому подобное. Обязательным условием успешного осуществления попытки несанкционированного доступа к информационным ресурсам ограниченного доступа является интерес к ним со стороны конкурентов, определенных лиц, служб и организаций. Основным виновником несанкционированного доступа к информационным ресурсам является, как правило, персонал, работающий с документами, информацией и базами данных. Утрата информации происходит в большинстве случаев не в результате преднамеренных действий злоумышленника, а из-за невнимательности и безответственности персонала.

Следовательно, утрата информационных ресурсов ограниченного доступа может наступить при:

§ наличии интереса конкурента, учреждений, фирм или лиц к конкретной информации,

§ возникновении риска угрозы, организованной злоумышленником, или при случайно сложившихся обстоятельствах;

§ наличии условий, позволяющих злоумышленнику осуществить необходимые действия и овладеть информацией.

Эти условия могут включать:

© отсутствие системной аналитической и контрольной работы по выявлению и изучению угроз, каналов и степени риска нарушений безопасности информационных ресурсов;

© неэффективную систему защиты информации или отсутствие этой системы, что образует высокую степень уязвимости информации;

© непрофессионально организованную технологию обработки и хранения конфиденциальных документов;

© неупорядоченный подбор персонала и текучесть кадров, сложный психологический климат в коллективе;

© отсутствие системы обучения сотрудников правилам защиты информации ограниченного доступа;

© отсутствие контроля со стороны руководства фирмы за соблюдением персоналом требований нормативных документов по работе с информационными ресурсами ограниченного доступа;

© бесконтрольное посещение помещений фирмы посторонними лицами.

Следует всегда помнить, что факт документирования резко увеличивает риск угрозы информации. Великие мастера прошлого никогда не записывали секреты своего искусства, а передавали их устно сыну, ученику. Поэтому тайна изготовления многих уникальных предметов того времени так и не раскрыта до наших дней.

Существующие действия, производимые с информацией, которые могут содержать в себе угрозу: сбор, модификация, утечка и уничтожение. Эти действия являются базовыми для дальнейшего рассмотрения. Придерживаясь принятой классификации будем разделять все источники угроз на внешние и внутренние.

Внутренние и внешние угрозы

Внутренним нарушителем может быть лицо из следующих категорий сотрудников обслуживающих подразделений: обслуживающий персонал (системные администраторы, отвечающие за эксплуатацию и сопровождение технических и программных средств); программисты сопровождения системного и прикладного программного обеспечения; технический персонал (рабочие подсобных помещений, уборщицы и тому подобное); сотрудники подразделений предприятия, которым предоставлен доступ в помещения, где расположено компьютерное или телекоммуникационное оборудование.

Источниками внутренних угроз являются:

· сотрудники организации;

· программное обеспечение;

· аппаратные средства.

Внутренние угрозы могут проявляться в следующих формах:

ошибки пользователей и системных администраторов;

нарушения сотрудниками фирмы установленных регламентов обработки, передачи и уничтожения информации;

ошибки в работе программного обеспечения;

заражение компьютеров вирусами или вредоносными программами;

отказы и сбои в работе компьютерного оборудования.

К внешним нарушителям относятся лица, пребывание которых в помещениях с оборудованием без контроля со стороны сотрудников предприятия невозможно.

Внешний нарушитель осуществляет перехват и анализ электромагнитных излучений от оборудования информационной системы.

К внешним источникам угроз относятся:

· Организации и отдельные лица;

· Стихийные бедствия;

· Техногенные аварии;

· Совершения террористических актов.

Формами проявления внешних угроз являются: перехват; анализ и модификацию информации; несанкционированный доступ к корпоративной информации; информационный мониторинг со стороны конкурирующих структур, разведывательных и специальных служб; аварии, пожары, техногенные катастрофы.

Все перечисленные нами виды угроз (формы проявления) можно разделить на умышленные и неумышленные, заинтересованные и незаинтересованные в возникновении угрозы лица.

Умышленные воздействия - это целенаправленные действия злоумышленника, вызванные любопытством; хакерская атака; уязвленным самолюбием работника, попытка совершения террористических актов. В качестве злоумышленника могут выступать служащий, посетитель, конкурент, наемник, технический персонал (рабочие подсобных помещений, уборщицы и тому подобное).

Причинами неумышленных случайных воздействий при эксплуатации могут быть: аварийные ситуации из-за стихийных бедствий и отключений электропитания (природные и техногенные воздействия); отказы и сбои аппаратуры; ошибки в программном обеспечении; ошибки в работе персонала; помехи в линиях связи из-за воздействий внешней среды.

По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации: информационные, программные, физические, радиоэлектронные и организационно-правовые.

К информационным угрозам относятся:

- несанкционированный доступ к информационным ресурсам;

- незаконное копирование данных в информационных системах;

- хищение информации из библиотек, архивов, банков и баз данных;

- нарушение технологии обработки информации;

- противозаконный сбор и использование информации.

К программным угрозам относятся:

- использование ошибок и "дыр" в программном обеспечении;

- компьютерные вирусы и вредоносные программы;

- установка "закладных" устройств.

К физическим угрозам относятся:

- уничтожение или разрушение средств обработки информации и связи;

- хищение носителей информации;

- хищение программных или аппаратных ключей и средств криптографической защиты данных;

- воздействие на персонал.

К радиоэлектронным угрозам относятся:

- внедрение электронных устройств перехвата информации в технические средства и помещения;

- перехват, расшифровка, подмена и уничтожение информации в каналах связи.

К организационно-правовым угрозам относятся:

- закупки несовершенных или устаревших информационных технологий и средств информатизации;

- нарушение требований законодательства и задержка в принятии необходимых нормативно-правовых решений в информационной сфере.

После выявления информации, составляющей коммерческую тайну, и определения источников, обладающих, владеющих или содержащих эту информацию, осуществляется выявление способов несанкционированного доступа к этой информации путем выбора из приведенной совокупности основных способов несанкционированного доступа к источникам конфиденциальной информации.

Можно выделить следующие возможные каналы утечки конфиденциальной информации (рисунок 3):

несанкционированное копирование конфиденциальной информации на внешние носители и вынос её за пределы контролируемой территории предприятия. Примерами таких носителей являются флоппи-диски, компакт-диски CD-ROM, Flash-диски и др.;

вывод на печать конфиденциальной информации и вынос распечатанных документов за пределы контролируемой территории.

Необходимо отметить, что в данном случае могут использоваться как локальные принтеры, которые непосредственно подключены к компьютеру злоумышленника, так и удалённые, взаимодействие с которыми осуществляется по сети;

несанкционированная передача конфиденциальной информации по сети на внешние серверы, расположенные вне контролируемой территории предприятия. Так, например, злоумышленник может передать конфиденциальную информацию на внешние почтовые или файловые серверы интрасети. При этом с целью маскирования своих действий нарушитель может предварительно зашифровать отправляемую информацию или передать её под видом стандартных графических файлов.

Информационные риски самое узкое определение - это риски утраты, несанкционированного изменения информации из-за сбоев в функционировании информационных систем или их выхода из строя, приводящие к потерям. Информационная безопасность - это состояние защищённости информационной среды. Защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния.

Информационная безопасность предприятия дистанции электроснабжения будет обеспечена, если будут обеспечены минимальные информационные риски. Информацию, для использования в повседневной деятельности, отсутствия у руководства предприятия объективной информации (в том числе конфиденциальной), необходимой для принятия правильного решения, а также распространения кем-либо во внешней среде невыгодной или опасной для деятельности предприятия информации.

Для решения этой задачи с точки зрения системного подхода целесообразно разработать и внедрить на предприятии систему минимизации информационных рисков, представляющую собой взаимосвязанную совокупность органов, средств, методов и мероприятий, обеспечивающих минимизацию рисков утечки и разрушения необходимой для функционирования предприятия информации. Основными информационными рисками любого предприятия являются:

риск утечки и разрушения необходимой для функционирования предприятия информации;

риск использования в деятельности предприятия необъективной информации;

риск отсутствия у руководства предприятия необходимой (в том числе конфиденциальной) информации для принятия правильного решения;

риск распространения кем-либо во внешней среде невыгодной или опасной для предприятия информации.

Основными задачами, решаемыми системой минимизации информационных рисков являются:

выявление информации, подлежащей защите;

определение источников, обладающих, владеющих или содержащих эту информацию;

выявление способов несанкционированного доступа к этой информации;

разработка и внедрение организационных и технических мер защиты конфиденциальной информации.

Информация предприятия дистанции электроснабжения может быть следующих четырех уровней важности:

несущественная, то есть информация, утечка или разрушение которой не наносят ущерба предприятию и не оказывают влияния на процесс его функционирования.

Риск утечки и разрушения необходимой для функционирования предприятия информации влечет следующие последствия:

· конфиденциальная информация, передача или утечка которой к посторонним лицам повлечет за собой ущерб предприятию, его персоналу;

· критическая информация, отсутствие или порча которой сделает невозможной повседневную работу персонала и всего предприятия в целом.

Очевидно, что информация первых трех уровней важности должна быть защищена, при этом степень защиты должна, в общем случае, определяться уровнем важности информации. Это обусловлено, главным образом тем, что степень защиты напрямую связана со стоимостью ее реализации, поэтому экономически нецелесообразно, в общем случае, защищать информацию дорогостоящими средствами защиты, если ее утечка или разрушение приводит к несущественному ущербу.

Информация первых трех уровней, как правило, относится к коммерческой тайне и определяется руководителем предприятия в соответствии с Постановлением Правительства Российской Федерации от 05.12.1991 года №35 "О перечне сведений, которые не могут составлять коммерческую тайну".

Порядок выявления информации, составляющей коммерческую тайну, определения источников, обладающих, владеющих или содержащих эту информацию должен быть следующим.

Приказом по предприятию руководителям отделов вменяется в обязанности производить работу по определению конкретных сведений, составляющих коммерческую тайну по их направлениям работы, лиц допущенных к этим сведениям, а также носителей этой информации.

Результатом этой работы должен быть утвержденный руководителем предприятия "Перечень сведений, составляющих коммерческую тайну предприятия" с указанием таких сведений по каждому из структурных подразделений; лиц являющихся носителями этих сведений; документов в которых содержатся эти сведения, а также других (технических) носителей этих сведений, если таковые имеются.

1.3 Основные положения системы защиты информации

Анализ состояния дел в сфере информации показывает, что уже сложилась вполне сформировавшаяся концепция и структура защиты, основу которой составляет:

весьма развитый арсенал технических средств защиты информации, производимых на промышленной основе;

значительное число фирм, специализирующихся на решении вопросов защиты информации;

достаточно четко очерченная система взглядов на эту проблему;

наличие значительного практического опыта.

И, тем не менее, как свидетельствует отечественная и зарубежная печать, злоумышленные действия над информацией не только не уменьшается, но и имеет достаточно устойчивую тенденцию к росту. Опыт показывает, что для борьбы с этой тенденции необходима:

1. Стройная и целенаправленная организация процесса защиты информационных ресурсов. Причем в этом должны активно участвовать профессиональные специалисты, администрация, сотрудники и пользователи, что и определяет повышенную значимость организационной стороны вопроса. Кроме того, обеспечение безопасности информации не может быть одноразовым актом. Это непрерывный процесс, заключающийся в обосновании и реализации наиболее рациональных методов, способов и путей совершенствования и развития системы защиты, непрерывном контроле ее состояния, выявлении ее узких и слабых мест и противоправных действий;

2. Безопасность информации может быть обеспеченна лишь при комплексном использовании всего арсенала имеющихся средств защиты во всех структурных элементах производственной системы и на всех этапах технологического цикла обработки информации. Наибольший эффект достигается тогда, когда все используемые средства, методы и меры объединяются в единый целостный механизм систему защиты информации (СЗИ). При этом функционирование системы должно контролироваться, обновляться и дополняться в зависимости от изменения внешних и внутренних условий.

Следовательно можно представить систему защиты информации как организационную совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации от внутренних и внешних угроз.

Рисунок 4. Модель построения корпоративной системы защиты информации

С позиций системного подхода к защите информации предъявляются определенные требования. Защита информации должна быть:

1. Непрерывной. Это требование проистекает из того, что злоумышленники только и ищут возможность, как бы обойти защиту интересующей их информации.

2. Плановой. Планирование осуществляется путем разработки каждой службы детальных планов защиты информации в сфере ее компетенции с учетом общей цели предприятия (организации).

3. Целенаправленной. Защищается то, что должно защищаться в интересах конкретной цели, не все подряд.

4. Конкретной. Защите подлежат конкретные данные, объективно подлежащие охране, утрата которых может причинить организации определенный ущерб.

5. Активной. Защищать информацию необходимо с достаточной степенью настойчивости.

6. Надежной. Методы и формы защиты должны надежно перекрывать возможные пути непрерывного доступа к охраняемым секретам, независимо от формы их представления, языка выражения и вида физического носителя, на котором они закреплены.

7. Универсальной. Считается, что в зависимости от вида канала утечки или способа несанкционированного доступа его необходимо перекрывать, где бы он ни проявлялся, разумными и достаточными средствами, независимо от характера, формы и вида информации.

8. Комплексной. Для защиты информации во всем многообразии структурных элементов должны применяться все виды и формы защиты в полном объеме. Недопустимо применять лишь отдельные формы или технические средства.

Комплексный характер защиты проистекает из того, что защита - это специфическое явление, представляющее собой сложную систему неразрывно взаимосвязанных процессов, каждый из которых в свою очередь имеет множество различных взаимно обусловливающих друг друга сторон, свойств, тенденций.

Таким образом, для обеспечения выполнения столь многогранных требований безопасности система защиты информации должна удовлетворять определенным условиям:

охватывать весь технологический комплекс информационной деятельности; быть разнообразной по используемым средствам,

многоуровневой с иерархической последовательностью доступа; быть открытой для изменения и дополнения мер обеспечения безопасности информации;

быть нестандартной, разнообразной, при выборе средств защиты нельзя рассчитывать на неосведомленность злоумышленников относительно ее возможностей;

быть простой для технического обслуживания и удобной для эксплуатации пользователям;

быть надежной, любые поломки технических средств являются причиной появления неконтролируемых каналов утечки информации;

быть комплексной, обладать целостностью, означающей, что ни одна ее часть не может быть изъята без ущерба для всей системы.

К системе безопасности информации предъявляются определенные требования:

четкость определения полномочий и прав пользователя на доступ к определенной информации;

предоставление пользователю минимальных полномочий, необходимых ему для выполнения порученной работы;

сведение к минимуму числа общих для нескольких пользователей средств защиты;

учет случаев и попыток несанкционированного доступа к конфиденциальной информации;

обеспечение оценки степени конфиденциальности информации;

обеспечение контроля целостности средств защиты и немедленное реагирование на их выход из строя.

Система защиты информации как любая система должна иметь определенные виды собственного обеспечения, опираясь на которые она будет выполнять свою целевую функцию. С учетом этого система защиты информации может иметь:

1. Правовое обеспечение. Сюда входят нормативные документы, положения, инструкции, руководства, требования которых являются обязательными в нормах сферы их действий.

2. Организационное обеспечение. Имеется в виду, что реализация защиты информации осуществляется определенными структурными единицами - такими, как служба защиты документов; служба режима, допуска и охраны; служба защиты информации техническими средствами; служба информационно-аналитической деятельности и другие.

3. Аппаратное обеспечение. Предполагается широкое использование технических средств, как для защиты информации, так и для обеспечения деятельности системы защиты информации.

4. Информационное обеспечение. Оно включает в себя сведения, данные, показатели, параметры, лежащие в основе решения задач, обеспечивающих функционирование системы. Сюда могут входить как показатели доступа, учета, хранения, так и системы информационного обеспечения расчетных задач различного характера, связанных с деятельностью службы обеспечения информации.

5. Программное обеспечение. К нему относятся различные информационные, учетные, статистические и расчетные программы, обеспечивающие оценку наличия и опасности различных каналов утечки и путей несанкционированного проникновения к источникам конфиденциальной информации;

6. Математическое обеспечение. Предполагает использование математических методов для различных расчетов, связанных с оценкой опасности технических средств злоумышленников, зон и норм необходимой защиты.

7. Лингвистическое обеспечение. Совокупность специальных языковых средств общения специалистов и пользователей в сфере защиты информации.

8. Нормативно-методическое обеспечение. Сюда входят нормы и регламенты деятельности органов, служб, средств, реализующих функции защиты информации, различного рода методики, обеспечивающие деятельность пользователей при выполнении своей работы в условиях жестких требований защиты информации.

Удовлетворить современные требования по обеспечению деятельности предприятия и защиты его конфиденциальной информации может только система безопасности. Под системой безопасности будем понимать организационную совокупность специальных органов, служб, средств, методов и мероприятий, обеспечивающих защиту жизненно важных интересов личности, предприятия и государства от внутренних и внешних угроз.

Как и любая система, система информационной безопасности имеет свои цели, задачи, методы и средства деятельности, которые согласовываются по месту и времени в зависимости от условий.

Понимая информационную безопасность как "состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций", правомерно определить угрозы безопасности информации, источники этих угроз, способы их реализации и цели, а также иные условия и действия, нарушающие безопасность. При этом, естественно следует рассматривать и меры защиты информации от неправомерных действий, приводящих к нанесению ущерба.

Практика показывает, что для анализа такого значительного набора источников, объектов и действий целесообразно использовать методы моделирования, при которых формируется как бы "заместитель" реальных ситуаций. При этом следует учитывать, что модель не копирует оригинал, она проще. Модель должна быть достаточно общей, чтобы описывать реальные действия с учетом их сложности.

Выводы : Как свидетельствует зарубежный и отечественный опыт, несмотря на все более широкое внедрение в практику предприятий новых информационных технологий, основным источником утечки информации являются сотрудники этих предприятий.

Поэтому применительно к такой ситуации необходимо понимать, что практически невозможно создать на предприятии условия, полностью исключающие несанкционированный доступ к этому источнику информации ограниченного доступа, можно лишь существенно уменьшить его роль среди других источников утечки конфиденциальной информации.

Следовательно, угрозы для информации ограниченного доступа всегда реальны, отличаются большим разнообразием и создают предпосылки для утраты информации.

По данным Института защиты компьютеров (CSI) и ФБР cвыше 50% вторжений - дело рук собственных сотрудников компаний. Что касается частоты вторжений, то 21% опрошенных указали, что они испытали рецидивы "нападений". Несанкционированное изменение данных было наиболее частой формой нападения и в основном применялось против медицинских и финансовых учреждений. Свыше 50% респондентов рассматривают конкурентов как вероятный источник "нападений". Наибольшее значение респонденты придают фактам подслушивания, проникновения в информационные системы и "нападениям", в которых "злоумышленники" фальсифицируют обратный адрес, чтобы пере нацелить поиски на непричастных лиц. Такими злоумышленниками наиболее часто являются обиженные служащие и конкуренты.

Анализ информационных рисков показывает, что они связаны с конфиденциальной информацией.

Часть плохо учитываемых причин, например, личная неприязнь к руководителю предприятия, ухудшение коммерческих связей между предприятиями, может привести к появлению в СМИ невыгодной, а в некоторых случаях, и опасной для предприятия информации. Поэтому для исключения или, по меньшей мере, уменьшения риска распространения этой информации со стороны предприятий-конкурентов необходимо упреждающе распространять некоторую истинную информацию, а в некоторых случаях, и дезинформацию.

Несмотря на проработанность темы, вопросов в процессе совершенствования системы управления информационными рисками всегда возникает много. Цель построения процесса анализа рисков не только в том, чтобы идентифицировать их, оценить последствия их возможной реализации, обеспечить их обработку и в последующем планомерно проводить дальнейший эффективный мониторинг. Но и в обеспечении стандартизации подхода к рискам во всех аспектах деятельности компании, удобном и быстром получении целостной картины ситуации с информационными рисками в компании в любой период ее деятельности. А также в повышении конкурентной привлекательности компании за счет быстрой и адекватной реакции на все новые возникающие угрозы, в повышении доверия внутри самой компании между бизнесом и безопасностью.

2. Организация защиты корпоративной информационной системы Дистанции электроснабжения на основе типовых решений

2.1 Объекты и субъекты защиты

Для Дистанции электроснабжения важными для жизнедеятельности ресурсами и, следовательно, защищаемыми являются:

1) люди (персонал предприятия);

2) имущество: документация, материальные и финансовые ценности, образцы готовой продукция, интеллектуальная собственность (ноу-хау), средства вычислительной техники и другое;

3) Информация: на материальных носителях, а также циркулирующая во внутренних коммуникационных каналах связи и информации, в кабинетах руководства предприятия, на совещаниях и заседаниях;

4) Финансово-экономические ресурсы, обеспечивающие эффективное и устойчивое развитие предприятия (коммерческие интересы, бизнес-планы, договорные документы и обязательства и тому подобное).

Ценности, подлежащие защите, такие как информация ограниченного доступа, банковская тайна, персональные данные, служебная тайна, коммерческая тайна, государственная тайна, инсайдерская информация и иная информация, в отношении которой устанавливается режим обязательного соблюдения конфиденциальности и ответственности за ее разглашение.

Так же ценностью являются данные, которые создаются или используются в корпоративной информационной сети такие как научно-техническая и технологическая информация, связанная с деятельностью предприятия.

Полный перечень информации, составляющей коммерческую тайну, устанавливается начальниками служб по защите информации дополнительно соответствующими нормативными актами.

К категориям "конфиденциальных" относятся сведения, удовлетворяющие следующим критериям:

они не являются общеизвестными или общедоступными на законных основаниях;

монопольное обладание этими сведениями даёт организации коммерческие преимущества, экономическую и иную выгоду и разглашение или открытое использование которых может привести к нанесению ущерба (материального, морального, физического) организации, его клиентам или корреспондентам (коммерческая тайна).

Банковской тайной понимаются сведения об операциях, счетах и вкладах, банковских реквизитах, а также сведения о клиентах и корреспондентах Банка, подлежащие обязательной защите.

Служебной тайной понимается информация, доступ к которой ограничен органами государственной власти и федеральными законами и понимаются сведения, не являющиеся банковской тайной, и подлежащие обязательной защите согласно перечня сведений ограниченного распространения.

Коммерческой тайной организации понимаются сведения, связанные с научно-технической, технологической, производственной, финансово-экономической или иную информацию которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности её третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введён режим коммерческой тайны. Разглашение (передача, утечка, открытое использование) которых может привести к нанесению ущерба организации, государства, ее клиентам или корреспондентам, контрагентам ОАО "РЖД".

Персональными данными понимаются сведения о фактах, событиях и обстоятельствах частной жизни граждан, позволяющие идентифицировать их личность.

Государственная тайна - согласно определению, принятому в российском законодательстве, защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной, оперативно-розыскной и иной деятельности, распространение которых может нанести ущерб безопасности государства.

Инсайдерская информация - (англ. Insider information) - существенная публично нераскрытая служебная информация компании, которая в случае ее раскрытия способна повлиять на рыночную стоимость ценных бумаг компании. Сюда можно отнести: информацию о готовящейся смене руководства и новой стратегии, о подготовке к выпуску нового продукта и к внедрению новой технологии, об успешных переговорах о слиянии компаний или идущей скупке контрольного пакета акций; материалы финансовой отчетности, прогнозы, свидетельствующие о трудностях компании; информация о тендерном предложении (на торгах) до его раскрытия публике и т.д.

Информацией ограниченного доступа является информация представляющая ценность для ее владельца, доступ к которой ограничивается на законном основании. В свою очередь информация ограниченного доступа подразделяется на информацию составляющею государственную тайну и информацию, соблюдение конфиденциальности которой установлено федеральным законом (конфиденциальная информация).

Юридическая и справочная информация , деловая переписка, передача отчетной бухгалтерской информации между пользовательскими рабочими станциями и сервером баз данных в рамках автоматизированных систем SAP R/3 для финансово-экономического и технического отдела.

Информация предприятия может быть следующих четырех уровней важности:

жизненно важная, то есть информация, утечка или разрушение которой ставят под угрозу само существование предприятия;

важная, то есть информация, утечка или разрушение которой приводит к большим затратам;

полезная, то есть информация, утечка или разрушение которой наносит некоторый ущерб, однако предприятие может достаточно эффективно функционировать и после этого;

несущественная, то есть информация, утечка или разрушение которой не наносят ущерба предприятию и не оказывают влияния на процесс его функционирования.

2.2 Организационные мероприятия в системе защиты информации

Организационно-правовые документы и методы регламентируют весь технологический цикл работы ОАО "РЖД", от методики подбора кадров и приема их на работу, например, на контрактной основе, до положений о функциональных обязанностях любого сотрудника. Каждая инструкция предприятия или норматив должны прямо или косвенно учитывать вопросы безопасности и влиять на работоспособность и эффективность системы защиты.

Важным источником утечки конфиденциальной информации являются различного рода документы. Здесь необходимо учитывать, что достаточно бурное развитие информационных технологий привело к появлению новых типов носителей документной информации: распечаток ЭВМ, носителей информации и тому подобное. В то же время практически не уменьшается значимость в коммерческой деятельности и традиционных видов документов на бумажных носителях: договоров, писем, аналитических обзоров.

Появление новых носителей документной информации привело не только к появлению новых сложностей в решении задачи обеспечения защиты информации от несанкционированного доступа к ее содержимому, но и новых возможностей по обеспечению гарантированной защиты этой информации. Речь здесь идет прежде всего о хранении особо важной документной информации на носителях в преобразованном с помощью криптографических преобразований виде.

В рамках этих мер на Дистанции электроснабжения разработаны и внедрены организационно-распорядительные документы, определяющие список конфиденциальных информационных ресурсов, а также перечень тех мероприятий, которые должны быть реализованы для противодействия.

Организационными документами являются политика информационной безопасности, должностные инструкции сотрудников компании, регламенты работы на персональном компьютере.

С этой целью на ОАО "РЖД" решены следующие организационно задачи:

Созданы правовые основы обеспечения защиты информации путем осуществления:

- внесения в Устав предприятия дополнений, дающих право руководству предприятия: издавать нормативные и распорядительные документы, регулирующие порядок определения информации, составляющей коммерческую тайну, и механизмы ее защиты;

- дополнения "Коллективного договора" положениями, закрепляющими обязанности администрации и работников предприятия, связанные с разработкой и осуществлением мероприятий по определению и защите коммерческой тайны;

- дополнения "Трудового договора" требованиями по защите коммерческой тайны и правил внутреннего распорядка, включающих требования по защите коммерческой тайны;

- инструктированием принимаемых на работу лиц по правилам сохранения коммерческой тайны с оформлением письменного обязательства о неразглашении.

- привлечением нарушителей требований по защите коммерческой тайны к административной или уголовной ответственности в соответствии с действующим законодательством.

- включать требования по защите коммерческой тайны в договора по всем видам хозяйственной деятельности;

- требовать защиты интересов предприятия перед государственными и судебными органами;

- распоряжаться информацией, являющейся собственностью предприятия, в целях извлечения выгоды и недопущения экономического ущерба предприятию;

- обучения сотрудников правилам защиты информации ограниченного доступа;

- тщательный подбор сотрудников для работы в системе делопроизводства;

- создание благоприятных внутренних условий на предприятии для сохранения коммерческой тайны;

- выявлять и стабилизировать текучесть кадров, сложный психологический климат в коллективе;

- обеспечение оценки степени конфиденциальности информации;

- отстранением от работ, связанных с коммерческой тайной лиц нарушающих установленные требования по ее защите;

- доведения до каждого сотрудника предприятия "Перечня сведений, составляющих коммерческую тайну предприятия";

- обеспечение надежного хранения документов и своевременного их уничтожения, а также проверке наличия документов и контроле своевременности и правильности их исполнения;

- черновики и варианты документов уничтожаются лично исполнителем, который несет персональную ответственность за их уничтожение. Уничтожение осуществляется на стандартных бумагорезательных машинах, либо другими способами, исключающими возможность прочтения.

- хранение конфиденциальной информации на носителях и в памяти персональной электронно-вычислительной машине в преобразованном виде с помощью криптографических преобразований.

Поэтому для исключения несанкционированного доступа к этому источнику информации используются как традиционные, так и нетрадиционные способы, а именно:

· осуществление охраны территории, помещений и офисов, а также эффективного входного контроля за доступом в них;

· внедрение четкой организации системы делопроизводства.

К информации, составляющей коммерческую тайну относится:

- информация о финансово - экономической деятельности;

- информация об эксплуатационной и производственной деятельности;

- информация об управленческой деятельности;

- информация о кадровой деятельности;

- информация о контрольной и ревизионной деятельности;

- информация о сигнализации и связи, электрификации, энергетике;

- информация о договорной работе;

- информация о результатах собственных исследований;

- информация о медицинской деятельности;

- Информация о защите информации и объектов ОАО "РЖД".

Гарантировать использование по назначению компьютеров и телекоммуникационных ресурсов организации ее сотрудниками, независимыми подрядчиками. Все пользователи компьютеров обязаны использовать компьютерные ресурсы квалифицированно, эффективно, придерживаясь норм этики и соблюдая законы. Нарушения политики корпоративной безопасности влечет за собой дисциплинарные воздействия, вплоть до увольнения и/или возбуждения уголовного дела.

Политика обеспечения безопасности - это не обычные правила, которые и так всем понятны. Она представлена в форме серьезного печатного документа. А чтобы постоянно напоминать пользователям о важности обеспечения безопасности, копии этого документа находятся у каждого сотрудника, чтобы эти правила всегда были перед глазами на рабочем столе.

Политика корпоративной безопасности

· Свободный доступ к сведениям, составляющим банковскую, коммерческую и служебную тайну Банка, закрывается с целью защиты конфиденциальной информации и физической защиты ее носителей.

· Организация, как собственник (владелец) информации, принимает меры по защите банковской тайны, персональных данных, служебной тайны, своей коммерческой тайны и другой информации в соответствии с предоставленными ему действующим законодательством правами и обязанностями.

Подобные документы

Анализ системы управления торговлей и персоналом фирмы, бухучёта, уровня защищённости корпоративной информационной системы персональных данных. Разработка подсистемы технических мер защиты маршрутизации, коммутации и межсетевого экранирования ИСПДн.

курсовая работа , добавлен 08.07.2014


Анализ объекта информатизации. Политику информационной безопасности. Подсистемы технической защиты информации: управления доступом, видеонаблюдения, охранной и пожарной сигнализаций, защиты от утечки по техническим каналам, защиты корпоративной сети.

презентация , добавлен 30.01.2012


Анализ модели информационно-телекоммуникационной системы предприятия. Виды угроз информационной безопасности. Цели и задачи защиты информации на предприятии. Разработка процедур контроля системы управления защитой информации в корпоративной сети.

дипломная работа , добавлен 30.06.2011


Анализ защищенности сетей предприятия на базе АТМ, архитектура объектов защиты в технологии. Модель построения корпоративной системы защиты информации. Методика оценки экономической эффективности использования системы. Методы снижения риска потери данных.

дипломная работа , добавлен 29.06.2012


Аналитический обзор корпоративной сети. Анализ существующей сети, информационных потоков. Требования к системе администрирования и маркировке элементов ЛВС. Разработка системной защиты от несанкционированного доступа. Инструкция системному администратору.

дипломная работа , добавлен 19.01.2017


Понятие антивирусной защиты информационной инфраструктуры, виды возможных угроз. Характеристика программного обеспечения, используемого в ПАО "РОСБАНК". Средства защиты информационных ресурсов банка от угроз нарушения целостности или конфиденциальности.

курсовая работа , добавлен 24.04.2017


Разработка высокоскоростной корпоративной информационной сети на основе линий Ethernet c сегментом мобильной торговли для предприятия ООО "Монарх". Мероприятия по монтажу и эксплуатации оборудования. Расчет технико-экономических показателей проекта.

курсовая работа , добавлен 11.10.2011


Структура корпоративной информационной системы организации. Разработка адресного пространства и системы DNS. Структура домена КИС. Выбор аппаратной и программной конфигурации рабочих станций и серверного оборудования. Конфигурирование типовых сервисов.

курсовая работа , добавлен 29.07.2013


Физическая среда передачи данных в локальных сетях. Корпоративная информационная сеть. Телекоммуникационное оборудование и компьютеры предприятия. Разработка корпоративной информационной сети на основе анализа современных информационных технологий.

дипломная работа , добавлен 07.06.2015


Актуальность вопросов информационной безопасности. Программное и аппаратное обеспечения сети ООО "Минерал". Построение модели корпоративной безопасности и защиты от несанкционированного доступа. Технические решения по защите информационной системы.

В ближайшее время ожидается рост количества корпоративных информационных систем, так как руководством страны взят курс на формирование в стране цифровой экономики, ориентированной на повышение эффективности всех отраслей за счет использования информационных технологий 1 , а значит, возрастает и необходимость защиты обрабатываемой в них информации.

Константин Саматов
Начальник отдела по защите информации ТФОМС
Свердловской области, член Ассоциации руководителей
служб информационной безопасности, преподаватель
информационной безопасности УРТК им. А.С. Попова

Основные понятия

Понятие "корпоративная информационная система" (КИС) содержится в ст. 2 Федерального закона от 06.04.2011 г. № 63-ФЗ "Об электронной подписи". Под КИС понимается информационная система, участники электронного взаимодействия в которой составляют определенный круг лиц. При этом круг лиц, участвующих в информационном обмене, могут составлять не только структурные подразделения организации – оператора КИС, но и ее контрагенты. Главное лишь то, что состав и количество участников строго определены.

Оператор информационной системы – гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных (ст. 2 Федерального закона от 27.07.2006 г. № 149-ФЗ "Об информации, информационных технологиях и о защите информации").

Под информационной системой понимается совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств (ст. 2 Федерального закона от 27.07.2006 г. № 149-ФЗ "Об информации, информационных технологиях и о защите информации"). Поэтому рассматривать вопрос защиты информации в КИС необходимо с определения того, какая информация подлежит защите.

Информация, подлежащая защите в корпоративной информационной системе

Действующее законодательство подразделяет информацию на два вида: общедоступная и информация ограниченного доступа (ч. 2 ст. 5 Федерального закона от 27.07.2006 г. № 149-ФЗ "Об информации, информационных технологиях и о защите информации"). Информацию ограниченного доступа можно разделить на две большие группы – это государственная тайна и сведения конфиденциального характера.

Государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации (ст. 2 Закона РФ от 21.07.1993 г. № 5485-1 "О государственной тайне"). Исходя из практики автора, можно сказать, что с указанной группой информации, как правило, меньше всего проблем (в сравнении с другими видами тайн). Перечень указанной информации конкретен. Порядок обработки строго регламентирован. Перед началом обработки сведений, составляющих государственную тайну, организация должна получить соответствующую лицензию. Санкции за нарушение порядка обработки жесткие. Кроме того, количество субъектов, имеющих подобную информацию, невелико.

К сведениям конфиденциального характера относится порядка 50 видов тайн, наиболее распространенными из них являются коммерческая тайна и личная (семейная) тайна, разновидностью которой являются персональные данные.

Персональные данные в КИС есть практически всегда. В частности, любая организация, у которой есть хотя бы один работник или паспортные данные хотя бы одного клиента, будет являться оператором персональных данных в понимании Федерального закона от 27.07.2006 г. № 152-ФЗ "О персональных данных". То есть если в корпоративной CRM-системе обрабатываются данные о клиентах (например, ФИО и адрес доставки) или эти данные находятся в файле MS Excel на рабочей станции, можно с уверенностью говорить о том, что в КИС обрабатываются персональные данные и, следовательно, организация обязана выполнять требования по их защите. На практике же руководители большинства организаций этого не понимают и считают, что персональные данные у них не обрабатываются, в связи с чем мер по защите информации до наступления какого-либо инцидента не предпринимают.

Помимо персональных данных, практически в любой КИС есть информация, которая имеет действительную или потенциальную ценность в силу ее неизвестности третьим лицам, разглашения или неконтролируемой передачи которой организация стремится избежать (коммерческая тайна). На практике распространенной является такая ситуация, когда перечень этой информации содержится исключительно в сознании руководителя или собственника организации.

Ключевым является обучение персонала правилам информационной безопасности, которое должно проводиться с определенной периодичностью.

С учетом изложенного актуальным становится вопрос принятия в организации комплекса мер защиты информации, обрабатываемой в корпоративной информационной системе.

Меры защиты информации в корпоративной информационной системе

Выделяют три основные группы мер:

1. Организационные (организационно-юридические). Подготовка организационно-распорядительной документации по вопросам защиты информации: инструкции, регламенты, приказы, методические указания. Цель – упорядочивание бизнес-процессов и соответствие требованиям внутреннего и внешнего регулирования (так называемый "комплаенс", "бумажная безопасность"). Данный вид мер можно назвать основным, так как:

• режим коммерческой тайны устанавливается исключительно принятием организационных мер, перечисленных в ч. 1 ст. 5 Федерального закона от 29.07.2004 г. № 98-ФЗ "О коммерческой тайне";
• в случае с персональными данными основной целью защиты персональных данных на сегодняшний день нередко является успешное прохождение проверок так называемых "регуляторов" (Роскомнадзор, ФСТЭК России, ФСБ России).

Отсюда получивший распространение в среде специалистов по безопасности термин "бумажная безопасность".

практически в любой КИС есть информация, которая имеет действительную или потенциальную ценность в силу ее неизвестности третьим лицам, разглашения или неконтролируемой передачи которой организация стремится избежать (коммерческая тайна). На практике распространенной является такая ситуация, когда перечень этой информации содержится исключительно в сознании руководителя или собственника организации.
Поэтому нередко персонал неумышленно передает (пересылает участнику информационного обмена, которому она не предназначена) хранящуюся в КИС информацию или разглашает ее (выкладывает в открытый доступ). При этом в отсутствие утвержденного перечня информации, составляющей коммерческую тайну, привлечь сотрудника к дисциплинарной ответственности за совершение указанных действий невозможно.

2. Технические меры. Техническая защита информации включает в себя четыре группы мер:

1. Инженерно-техническая защита. Ее целью является защита от физического проникновения нарушителя на объекты, на которых располагаются технические средства КИС (автоматизированные рабочие места, сервера и т.п.). Защита от проникновения достигается путем применения инженерно-технических сооружений: заборов, дверей, замков, турникетов, сигнализаций, видеонаблюдения и т.п.
2. Защита от несанкционированного доступа к информации. Целью данной группы мер является предотвращение несанкционированного доступа непосредственно к самой обрабатываемой в информационной системе информации. Реализуется путем проведения следующих мероприятий:
   • управление доступом (пароли, назначение полномочий);
   • регистрация и учет (журналирование);
   • межсетевое экранирование;
   • антивирусная защита;
   • применение средств обнаружения (предотвращения) вторжений.
3. Защита от утечек по техническим каналам. Цель – защита информации от утечек по техническим каналам (визуальный, аудиальный, побочных электромагнитных излучений) в процессе обработки информации в КИС. Реализуется применением следующих мер:
   • оборудование окон жалюзи (шторами);
   • применение средств защиты от утечки по акустическим каналам, так называемых виброакустических глушилок;
   • применение специальных фильтров для защиты от побочных электромагнитных излучений и наводок. Однако данные меры на практике необходимы лишь для государственных информационных систем или информационных систем, в которых обрабатывается государственная тайна.
4. Криптографическая защита информации. Применение средств криптографической защиты информации в последние годы набирает достаточно большие обороты, во многом благодаря активному развитию корпоративных систем электронного документооборота и применения в них электронной подписи как механизма обеспечения целостности информации. В практической деятельности механизмы криптографического преобразования информации используются в целях обеспечения прежде всего конфиденциальности информации, хранимой в базах данных либо на рабочих станциях, а также для защиты информации в процессе информационного обмена (при передаче). Собственно, только используя криптографическое преобразование, возможно полноценное построение VPN-сетей (Virtual Private Network).

3. Морально-этические меры предназначены для недопущения или хотя бы минимизации разглашения информации ограниченного доступа пользователями КИС.

По различным исследованиям, количество утечек информации от сотрудников составляет от 80 до 95%, при этом подавляющее большинство – порядка 90% утечек – не связаны с умышленными действиями.

Морально-этические меры неразрывно связаны с кадровой безопасностью и предусматривают прием на работу квалифицированного персонала, контрольные мероприятия, детальные должностные инструкции, обучение персонала, строгий контроль доступа, обеспечение безопасности при увольнении сотрудников. По мнению автора, ключевым является обучение персонала правилам информационной безопасности, которое должно проводиться с определенной периодичностью. Так, в частности, автор ежегодно готовит приказ, предусматривающий ежеквартальное обучение сотрудников организации, в которой он работает.

Кроме того, для предотвращения утечек информации от персонала по каналам связи (электронная почта, мессенджеры, социальные сети) существует целый класс систем защиты информации, называемый "DLP-системы" (Data Loss (Leak) Protection (Prevention), в целом именуемые как "системы предотвращения утечек". Данные системы в настоящее время являются одним из популярных решений по контролю за персоналом, используемым руководителями как служб информационной, так и экономической безопасности. Большинство существующих на рынке систем данного класса позволяет обеспечить не только мониторинг и блокировку электронных каналов коммуникации, но и мониторинг активности пользователей, позволяющий выявлять сотрудников, нерационально использующих рабочее время: опаздывают на работу и уходят раньше, "сидят" в социальных сетях, играют в компьютерные игры, работают на себя.

Еще одним трендом в вопросе кадровой безопасности, появившимся буквально несколько месяцев назад, являются системы мониторинга и выявления отклоняющегося от нормы поведения пользователей – User and Entity Behavior Analytics (UEBA). Данные системы предназначены для анализа поведения пользователей и выявления на его основе актуальных угроз кадровой и информационной безопасности.

Таким образом, в подавляющем большинстве корпоративных информационных систем обрабатываются персональные данные и коммерческая тайна, а соответственно, все они требуют защиты. Практически всегда, особенно в коммерческом секторе, вопросы защиты информации вступают в конфликт с удобством работы сотрудников и финансированием указанных мероприятий. В работе автором рассмотрен минимальный набор мер, направленных на защиту информации в любой КИС. Данный перечень мер не требует уникальных познаний и доступен для практического применения практически любым специалистом в области информационных технологий. Кроме того, большинство из предложенных мер не требует значительных финансовых затрат.

___________________________________________
1 Послание Президента Российской Федерации Федеральному Cобранию Российской Федерации от 1 декабря 2016 г.

Колонка эксперта

Периметр: есть ли еще что защищать?

Алексей
Лукацкий

Бизнес-консультант по информационной безопасности

Мы в нашей области являемся достаточно консервативными. Мы очень сильно зависим от авторитетов, от подходов, от продуктов и от терминов и определений, которые не меняются годами. Периметр информационной безопасности – это как раз тот термин, который, к сожалению, так устарел, что его использовать уже практически невозможно. Более того, мы даже до конца не знаем, что же такое периметр информационной безопасности. Кто-то воспринимает периметр как точку соединения с Интернетом, как бы забавно это ни звучало в контексте геометрии, в которой периметр – это все-таки замкнутая линия. Кто-то воспринимает периметр как линию, которая очерчивает корпоративную или ведомственную сеть. Кто-то воспринимает периметр как набор устройств, которые имеют выход в Интернет.

Но каждое из этих определений очевидно имеет свои плюсы и свои минусы, и все они разные. Как воспринимать ситуацию даже с таким, казалось бы, простым вариантом, как сегмент промышленной сети, возможно, даже физически изолированной от внешнего мира, если туда пришел представитель подрядной организации с ноутбуком, который подключен через 3G-модем к Интернету? Появляется ли у нас здесь периметр или не появляется? А если мы посмотрим на ситуацию, когда сотрудник с мобильным устройством подключается к внешнему облаку, в котором хранятся конфиденциальные данные компании, или работает приложение, обрабатывающее эти данные? Здесь есть периметр или нет? А если сотрудник со своего личного устройства подключился к чужой инфраструктуре облачного провайдера, в которой и хранится информация компании? Где периметр в такой ситуации?

Ну допустим, у нас мобильные устройства принадлежат компании, а облака принадлежат провайдеру. При этом максимум, что мы можем знать, – это свой кусок того облака, в котором мы располагаем наши сервера, наши приложения, наши данные. Но кто к ним имеет доступ извне, со стороны облачного провайдера, со стороны других его клиентов? В такой ситуации вообще невозможно очертить периметр. А это означает, что как бы мы ни хотели, но мы вынуждены изменять свои подходы к тому, что мы привыкли называть защитой периметра. Например, в некоторых компаниях руководство придерживается правила, что сотрудник компании может работать в любой момент времени из любой точки мира с любого устройства. В такой концепции, разумеется, не может быть периметра в общеупотребимом смысле, и это заставляет совсем по-другому защищать, нет, не периметр, а подключение к Интернету! А вы готовы к новой реальности?

БЕЛОРУССКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ

Выпускная работа по
«Основам информационных технологий»

Магистрант

кафедры кибернетики

Козловский Евгений

Руководители:

доцент Анищенко Владимир Викторович,

ст. преподаватель Кожич Павел Павлович

Минск – 2008 г.

ERP – Enterprise Resource Planning System

MRP II – Material Requirement Planning

MRP II – Manufacturing Resource Planning

ПО – программное обеспечение

КИС – корпоративные информационные системы

СВТ – средства вычислительной техники

НСД – несанкционированный доступ

Корпоративные информационные системы прочно вошли в нашу жизнь. В современном мире достаточно сложно представить себе успешно развивающееся предприятие, управляемое без участия такой системы.

В связи с тем, что в корпоративных информационных системах хранится информация, нарушение целостности или конфиденциальности которой может привести к краху целого предприятия остро стоит вопрос о защите информации в корпоративных информационных системах.

Данная работа ставит перед собой несколько целей. Одной из них является анализ структуры корпоративных информационных систем. На основе этого анализа будет проведена их классификация. Также одной из целей данной работы является исследование механизмов защиты данных в различных классах корпоративных информационных систем. Кроме того, ставится цель исследовать существующие угрозы корпоративных информационных систем и проанализировать методы их минимизации или полного устранения. В связи с этим будет проведено исследование существующих способов разграничения доступа и анализ их применимости тех или иных условиях.

Термин корпорация происходит от латинского слова corporatio – объединение. Корпорация обозначает объединение предприятий, работающих под централизованным управлением и решающих общие задачи. Как правило, корпорации включают предприятия, расположенные в разных регионах и даже в различных государствах (транснациональные корпорации).

Корпоративные информационные системы (КИС) – это интегрированные системы управления территориально распределенной корпорацией, основанные на углубленном анализе данных, широком использовании систем информационной поддержки принятия решений, электронных документообороте и делопроизводстве.

Причины внедрения корпоративных информационных систем:

· оперативный доступ к достоверной и представленной в удобном виде информации;

· создание единого информационного пространства;

· упрощение регистрации данных и их обработки;

· избавление от двойной регистрации одних и тех же данных;

· регистрация информации в режиме реального времени;

· снижение трудозатрат, их равномерное распределение на всех участников системы учета, планирования и управления;

· автоматизация консолидации данных для распределенной организационной структуры.

Все корпоративные информационные системы можно разделить на две большие подгруппы. Одна из них включает единую систему, собранную по модульному принципу и имеющую высокий уровень интеграции. Другая - представляет собой набор хоть и интегрированных между собой при помощи сервисов и интерфейсов, но все же разнородных приложений.

К первому классу в основном относятся современные ERP системы.

ERP-система (англ. Enterprise Resource Planning System - Система планирования ресурсов предприятия) - корпоративная информационная система, предназначенная для автоматизации учёта и управления. Как правило, ERP-системы строятся по модульному принципу, и в той или иной степени охватывают все ключевые процессы деятельности компании.

Исторически концепция ERP стала развитием более простых концепций MRP (Material Requirement Planning - Планирование материальных потребностей) и MRP II (Manufacturing Resource Planning - Планирование производственных ресурсов). Используемый в ERP-системах программный инструментарий позволяет проводить производственное планирование, моделировать поток заказов и оценивать возможность их реализации в службах и подразделениях предприятия, увязывая его со сбытом.

В основе ERP-систем лежит принцип создания единого хранилища данных, содержащего всю корпоративную бизнес-информацию и обеспечивающего одновременный доступ к ней любого необходимого количества сотрудников предприятия, наделенных соответствующими полномочиями. Изменение данных производится через функции (функциональные возможности) системы. Основные функции ERP систем: ведение конструкторских и технологических спецификаций, определяющих состав производимых изделий, а также материальные ресурсы и операции, необходимые для их изготовления; формирование планов продаж и производства; планирование потребностей в материалах и комплектующих, сроков и объемов поставок для выполнения плана производства продукции; управление запасами и закупками: ведение договоров, реализация централизованных закупок, обеспечение учета и оптимизации складских и цеховых запасов; планирование производственных мощностей от укрупненного планирования до использования отдельных станков и оборудования; оперативное управление финансами, включая составление финансового плана и осуществление контроля его исполнения, финансовый и управленческий учет; управления проектами, включая планирование этапов и ресурсов.

Они обычно обладают ядром, состоящим из нескольких ключевых модулей, без которых невозможна работа системы. Помимо прочих в это набор включена и система безопасности, которая берёт на себя большинство функций, связанных с защитой информации во всей системе в целом и в каждом из встраиваемых модулей в частности. Такой подход весьма удобен сразу по нескольким причинам:

Механизмы обеспечения конфиденциальности, целостности и доступности данных в такой системе максимально унифицированы. Это позволяет администраторам избежать ошибок при настройке различных модулей системы, которые могли бы привести к образованию брешей в безопасности.

Система имеет высокий уровень централизации и позволяет легко и надёжно управлять защитой корпоративной информационной системы.

К достоинствам таких систем можно отнести:

Использование ERP системы позволяет использовать одну интегрированную программу вместо нескольких разрозненных.

Реализуемая в ERP-системах система разграничения доступа к информации, предназначена (в комплексе с другими мерами информационной безопасности предприятия) для противодействия как внешним угрозам (например, промышленному шпионажу), так и внутренним (например, хищениям).

Исследование вузов союзного государства, в основном государственных, показало, что в самой автоматизированной области, финансах, 42% из них либо используют, лишь офисные приложения, либо по старинке - бумагу. Но даже там, где уровень автоматизации относительно высок, модули, как правило, никак не связаны между собой. А таких подсистем должно быть порядка десяти: финансовое планирование, управление недвижимостью, проектами, качеством, отчетность, инструментальная среда и т.п. При разработке каждой из них только на оплату труда уйдет, по самым скромным оценкам, примерно 25 тыс. долл. Если учесть, что на разработку идет 25-40% всех затрат на создание программного продукта, полученную оценку необходимо увеличить минимум в 2,5-4 раза. Поддержка внедренной системы обойдется еще в 140-240 тыс. долл. ежегодно. Так что мнение, будто собственная разработка обходится дешево - это иллюзия, возникающая в отсутствие эффективных средств контроля затрат.

Современные ERP системы могут быть вполне успешно адаптированы и к работе учебно-образовательных учреждений. Однако стоит отметить, что при внедрении таких систем необходимо учитывать некоторые особенности, присущие информационным системам таких учреждений.

Наличие нескольких специализированных подси­стем, решающих достаточно самостоятельные за­дачи. Данные, используемые каждой из подсистем, являются в большой степени специализированными, т.е. независимыми от других приложений информа­ционной системы. Например, в рамках ВУЗа мож­но выделить подсистемы бухгалтерии, библиотеки, редакционно-издательского отдела, приложения об­работки учебного процесса и т.д. С другой сторо­ны, все подсистемы находятся в одном информаци­онном пространстве и связаны между собой (единая система справочных данных, результат работы од­ного приложения служит основой для функциониро­вания другого и т.д.).

Требование публикации значительной части инфор­мации ИС, с предоставлением интерфейсов доступа к данным корпоративной информационной системы для сторонних пользователей.

Второй класс систем, на мой взгляд, гораздо более подвержен образованию пробелов в безопасности, вызванных ошибками при конфигурации системы безопасности приложения. Как уже отмечалось, несмотря на свою некоторую интегрированность, такие системы, по сути, являются набором отдельных независимых продуктов. Соответственно каждый из них использует свои подходы к обеспечению целостности, конфиденциальности и доступности данных и требует отдельной конфигурации. Если учесть так же тот факт, что части такой системы не всегда совместимы друг с другом, становится очевидным, что для совместной работы приложений иногда приходится жертвовать безопасностью. Децентрализованность таких систем часто не позволяет администраторам следить за разграничением прав доступа в системе.

Предже чем рассмотреть уязвимости корпоративной информационной системы введём несколько определений.

Под доступом к информации понимается ознакомление с ин­формацией, ее обработка, в частности копирование, модификация или уничтожение информации.

Различают санкционированный и несанкционированный дос­туп к информации.

- это доступ к ин­формации, не нарушающий установленные правила разграничения доступа.

служат для регламентации права доступа субъектов доступа к объектам доступа.

характеризуется нарушением установленных правил разграничения доступа. Лицо или процесс, осуществляющие несанкционированный доступ к ин­формации, являются нарушителями правил разграничения досту­па. Несанкционированный доступ является наиболее распространенным видом компьютерных нарушений.

Конфиденциальность данных - это статус, предоставленный данным и определяющий требуемую степень их защиты. По суще­ству конфиденциальность информации - это свойство информации быть известной только допущенным и прошедшим проверку (авторизированным) субъектам системы (пользователям, процессам, программам). Для остальных субъектов системы эта информация должна быть неизвестной.

Субъект - это активный компонент системы, который может стать причиной потока информации от объекта к субъекту или из­менения состояния системы.

Объект - пассивный компонент системы, хранящий, прини­мающий или передающий информацию. Доступ к объекту означает доступ к содержащейся в нем информации.

Целостность информации обеспечивается в том случае, если данные в системе не отличаются в семантическом отношении отданных в исходных документах, т.е. если не произошло их случай­ного или преднамеренного искажения или разрушения.

Целостность компонента или ресурса системы - это свойст­во компонента или ресурса быть неизменными в семантическом смысле при функционировании системы в условиях случайных или преднамеренных искажений или разрушающих воздействий.

Доступность компонента или ресурса системы - это свойст­во компонента или ресурса быть доступным" для авторизованных законных субъектов системы.

Под угрозой безопасности корпоративной информационной системы понимаются возможные воздействия на неё, которые прямо или косвенно могут нанести ущерб безопасности такой системы.

Ущерб безопасности подразумевает на­рушение состояния защищенности информации, содержащейся и обрабатывающейся в корпоративных информационных системах. С понятием угрозы безопасности тес­но связано понятие уязвимости корпоративных информационных систем.

Уязвимость корпоративной информационной системы - это некоторое свойство систе­мы, которое делает возможным возникновение и реализацию угрозы.

Атака на компьютерную систему - это действие, предприни­маемое злоумышленником, которое заключается в поиске и ис­пользовании той или иной уязвимости системы. Таким образом, атака-это реализация угрозы безопасности.

Противодействие угрозам безопасности является целью защи­ты систем обработки информации.

Безопасная или защищенная система - это система со сред­ствами защиты, которые успешно и эффективно противостоят уг­розам безопасности.

Комплекс средств защиты представляет собой совокупность программных и технических средств, создаваемых и поддерживае­мых для обеспечения информационной безопасности корпоративной информационной системы. Ком­плекс создается и поддерживается в соответствии с принятой в данной организации политикой безопасности.

Политика безопасности - это совокупность норм, правил и практических рекомендаций, регламентирующих работу средств защиты корпоративной информационной системы от заданного множества угроз безопасности.

Корпоративная информационная система, как и любая информационная система подвержена угрозам безопасности. Классифицируем эти угрозы.

1. нарушение конфиденциальности информации в корпоративных информационных системах

2. нарушение целостности информации в корпоративных информационных системах.

3. отказ в обслуживании корпоративных информационных системах

Рассмотрим данные угрозы несколько подробнее.

Угрозы нарушения конфиденциальности направлены на раз­глашение конфиденциальной или секретной информации. При реализации этих угроз информация становится известной лицам, которые не должны иметь к ней доступ. В терминах компьютерной безопасности угроза нарушения конфиденциальности имеет место всякий раз, когда получен несанкционированный доступ к некото­рой закрытой информации, хранящейся в компьютерной системе или передаваемой от одной системы к другой.

Угрозы нарушения целостности информации, хранящейся в компьютерной системе или передаваемой по каналу связи, на­правлены на ее изменение или искажение, приводящее к наруше­нию ее качества или полному уничтожению. Целостность инфор­мации может быть нарушена умышленно злоумышленником, а так­же в результате объективных воздействий со стороны среды, окружающей систему. Эта угроза особенно актуальна для систем передачи информации, компьютерных сетей и систем телекомму­никаций. Умышленные нарушения целостности информации не следует путать с ее санкционированным изменением, которое вы­полняется полномочными лицами с обоснованной целью (напри­мер, таким изменением является периодическая коррекция некото­рой базы данных).

Угрозы нарушения работоспособности (отказ в обслуживании) направлены на создание таких ситуаций, когда определенные пред­намеренные действия либо снижают работоспособность КИС, либо блокируют доступ к некоторым ее ресурсам. Например, если один пользователь системы запрашивает доступ к некоторой служ­бе, а другой предпринимает действия по блокированию этого дос­тупа, то первый пользователь получает отказ в обслуживании. Бло­кирование доступа к ресурсу может быть постоянным или вре­менным.

Угрозы могут быть классифицированы по нескольким параметрам

· по величине принесенного ущерба:

o предельный, после которого фирма может стать банкротом;

o значительный, но не приводящий к банкротству;

o незначительный, который фирма за какое-то время может компенсировать.

· по вероятности возникновения:

o весьма вероятная угроза;

o вероятная угроза;

o маловероятная угроза.

· по причинам появления:

o стихийные бедствия;

o преднамеренные действия.

· по характеру нанесенного ущерба:

o материальный;

o моральный;

· по характеру воздействия:

o активные;

o пассивные.

· по отношению к объекту:

o внутренние;

o внешние.

· Источниками внешних угроз являются:

o недобросовестные конкуренты;

o преступные группировки и формирования;

o отдельные лица и организации административно-управленческого аппарата.

· Источниками внутренних угроз могут быть:

o администрация предприятия;

o персонал;

o технические средства обеспечения производственной и трудовой деятельности.

Соотношение внешних и внутренних угроз на усредненном уровне можно охарактеризовать так:

82% угроз совершается собственными сотрудниками фирмы при их прямом или опосредованном участии;

17% угроз совершается извне - внешние угрозы;

1% угроз совершается случайными лицами.

Наиболее опасной с точки зрения размера нанесённого ущерба в большинстве случаев является именно нарушение конфиденциальности информации. Рассмотрим возможные способы таких нарушений.

Разглашение - это умышленные или неосторожные действия с конфиденциальными сведениями, приведшие к ознакомлению с ними лиц, не допущенных к ним. Разглашение выражается в сообщении, передаче, предоставлении, пересылке, опубликовании, утере и в других формах обмена и действий с деловой и научной информацией. Реализуется разглашение по формальным и неформальным каналам распространения информации. К формальным коммуникациям относятся деловые встречи, совещания, переговоры и тому подобные формы общения: обмен официальными деловыми и научными документами средствами передачи официальной информации (почта, телефон, телеграф и т. д.). Неформальные коммуникации включают личное общение (встречи, переписка), выставки, семинары, конференции и другие массовые мероприятия, а также средства массовой информации (печать, газеты, интервью, радио, телевидение). Как правило, причиной разглашения конфиденциальной информации является недостаточное знание сотрудниками правил защиты коммерческих секретов и непонимание (или недопонимание) необходимости их тщательного соблюдения. Тут важно отметить, что субъектом в этом процессе выступает источник (владелец) охраняемых секретов. Следует отметить информационные особенности этого действия. Информация содержательная, осмысленная, упорядоченная, аргументированная, объемная и доводится зачастую в реальном масштабе времени. Часто имеется возможность диалога. Информация ориентирована в определенной тематической области и документирована. Для получения интересующей злоумышленника информации последний затрачивает практически минимальные усилия и использует простые легальные технические средства (диктофоны, видеомониторинг).

Утечка - это бесконтрольный выход конфиденциальной информации за пределы организации или круга лиц, которым она была доверена.

Утечка информации осуществляется по различным техническим каналам. Известно, что информация вообще переносится или передается либо энергией, либо веществом. Это либо акустическая волна (звук), либо электромагнитное излучение, либо лист бумаги (написанный текст) и др. С учетом этого можно утверждать, что по физической природе возможны следующие пути переноса информации: световые лучи, звуковые волны, электромагнитные волны, материалы и вещества. Соответственно этому классифицируются и каналы утечки информации на визуально-оптические, акустические, электромагнитные и материально-вещественные. Под каналом утечки информации принято понимать физический путь от источника конфиденциальной информации к злоумышленнику, посредством которого последний может получить доступ к охраняемым сведениям. Для образования канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также наличие на стороне злоумышленника соответствующей аппаратуры приема, обработки и фиксации информации.

Несанкционированный доступ - это противоправное преднамеренное овладение конфиденциальной информацией лицом, не имеющим права доступа к охраняемым секретам. Несанкционированный доступ к источникам конфиденциальной информации реализуется различными способами: от инициативного сотрудничества, выражающегося в активном стремлении «продать» секреты, до использования различных средств проникновения к коммерческим секретам. Для реализации этих действий злоумышленнику приходится часто проникать на объект или создавать вблизи него специальные посты контроля и наблюдения - стационарных или в подвижном варианте, оборудованных самыми современными техническими средствами. Если исходить из комплексного подхода к обеспечению информационной безопасности, то такое деление ориентирует на защиту информации, как от разглашения, так и от утечки по техническим каналам и от несанкционированного доступа к ней со стороны конкурентов и злоумышленников. Такой подход к классификации действий, способствующих неправомерному овладению конфиденциальной информацией, показывает многогранность угроз и многоаспектность защитных мероприятий, необходимых для обеспечения комплексной информационной безопасности.

С учетом изложенного остается рассмотреть вопрос, какие условия способствуют неправомерному овладению конфиденциальной информацией.

По статистике это:

Разглашение (излишняя болтливость сотрудников) - 32%;

Несанкционированный доступ путем подкупа и склонения к сотрудничеству со стороны конкурентов и преступных группировок - 24%;

Отсутствие на фирме надлежащего контроля и жестких условий обеспечения информационной безопасности - 14%;

Традиционный обмен производственным опытом - 12%;

Бесконтрольное использование информационных систем - 10%;

Наличие предпосылок возникновения среди сотрудников конфликтных ситуаций - 8%;

Приведённые статистики говорят о том, что наиболее уязвимым местом в системе безопасности корпоративной информационной системы являются сами сотрудники, вольно или невольно совершающе нарушения безопасности информационной системе.

По способам воздействия все меры по минимизации угроз подразделяют на:

Правовые (законодательные);

Морально-этические;

Административные;

Физические;

Аппаратно-программные.

Перечисленные меры безопасности КИС можно рассматри­вать как последовательность барьеров или рубежей защиты ин­формации. Для того чтобы добраться до защищаемой информа­ции, нужно последовательно преодолеть несколько рубежей защи­ты. Рассмотрим их подробнее.

Первый рубеж защиты, встающий на пути человека, пытающе­гося осуществить НСД к информации, является чисто правовым. Этот аспект защиты информации связан с необходимостью соблю­дения юридических норм при передаче и обработке информации. К правовым мерам защиты информации относятся действующие в стране законы, указы и другие нормативные акты, регламентирующие правила обращения с информацией ограниченного использования и ответственности за их нарушения. Этим они препятствуют несанкционированному использованию информации и являются сдерживающим фактором для потенциальных нарушителей.

Второй рубеж защиты образуют морально-этические меры. Этический момент в соблюдении требований защиты имеет весьма большое значение. Очень важно, чтобы люди, имеющие доступ к компьютерам, работали в здоровом морально-этическом климате.

К морально-этическим мерам противодействия относятся все­возможные нормы поведения, которые традиционно сложились или складываются в обществе по мере распространения компьютеров в стране. Эти нормы большей частью не являются обязательными, как законодательно утвержденные, но их несоблюдение обычно ведет к падению престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаными (например, общепризнанные нормы честности, патриотизма и т.д.), так и оформленными в некий свод правил или предписаний. Например, "Кодекс профессионального поведения членов Ассоциации поль­зователей ЭВМ США" рассматривает как неэтичные действия, которые умышленно или неумышленно:

Нарушают нормальную работу компьютерных систем;

Вызывают неоправданные затраты ресурсов (машинного време­ни, памяти, каналов связи и т. п.);

Нарушают целостность информации (хранимой и обрабатывае­мой);

Нарушают интересы других законных пользователей и т. п.

Третьим рубежом, препятствующим неправомочному исполь­зованию информации, являются административные меры. Админи­страторы всех рангов с учетом правовых норм и социальных аспек­тов определяют административные меры защиты информации.

Административные меры защиты относятся к мерам органи­зационного характера. Они регламентируют:

Процессы функционирования КИС;

Использование ресурсов КИС;

Деятельность ее персонала;

Порядок взаимодействия пользователей с системой, с тем чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности.

Административные меры включают:

Разработку правил обработки информации в КИС;

Совокупность действий при проектировании и оборудовании вы­числительных центров и других объектов КИС (учет влияния стихии, пожаров, охрана помещений и т. п.);

Совокупность действий при подборе и подготовке персонала (проверка новых сотрудников, ознакомление их с порядком рабо­ты с конфиденциальной информацией, с мерами ответственно­сти за нарушение правил ее обработки; создание условий, при которых персоналу было бы невыгодно допускать злоупотребле­ния и т.д.);

Организацию надежного пропускного режима;

Организацию учета, хранения, использования и уничтожения до­кументов и носителей с конфиденциальной информацией;

Распределение реквизитов разграничения доступа (паролей, пол­номочий и т.п.);

Организацию скрытого контроля над работой пользователей и пер­сонала КИС;

Совокупность действий при проектировании, разработке, ремонте и модификации оборудования и программного обеспечения (сер­тификация используемых технических и программных средств, строгое санкционирование, рассмотрение и утверждение всех изменений, проверка на удовлетворение требованиям защиты, документальная фиксация изменений и т. п.).

Важно отметить, что, пока не будут реализованы действенные меры административной защиты ЭВМ, прочие меры будут, несо­мненно, неэффективны. Административно-организационные меры защиты могут показаться скучными и рутинными по сравнению с морально-этическими и лишенными конкретности по сравнению с аппаратно-программными. Однако они представляют собой мощ­ный барьер на пути незаконного использования информации и на­дежную базу для других уровней защиты.

Четвертым рубежом являются физические меры защиты. К физическим мерам защиты относятся разного рода механические, электро- и электронно-механические устройства или сооружения, специально предназначенные для создания физических препятст­вий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации.

Пятым рубежом являются аппаратно-программные средства защиты. К ним относятся различные электронные устройства и специальные программы, которые реализуют самостоятельно или в комплексе с другими средствами следующие способы защиты:

Идентификацию (распознавание) и аутентификацию (проверка подлинности) субъектов (пользователей, процессов) КИС;

Разграничение доступа к ресурсам КИС;

Контроль целостности данных;

Обеспечение конфиденциальности данных;

Регистрацию и анализ событий, происходящих в КИС;

Резервирование ресурсов и компонентов КИС.

По способу осуществления все меры по предотвращению угроз корпоративной информационной системы можно разделить следующим образом.

Табл. 1. Преимущества и недостатки различных мер борьбы с угрозами КИС

Контроль в чистом виде, к сожалению, тем менее применим, чем больше информационная система. Кроме того, сразу же встает вопрос о целесообразности сбора этих данных, т.к. своевременно обработать их практически невозможно, или это требует создания отдельного отдела, занимающегося именно этой работой. Нельзя забывать и о том, что большинство данных актуально совсем непродолжительное время.

Запрет - очень негибкий инструмент. Запрет на использование отчуждаемых носителей информации может породить новые проблемы, связанные с тем, половина подразделений использовала их для общения с внешним миром: электронная почта налагает ограничения на размер пересылаемых файлов, налоговые органы принимают отчеты бухгалтерии только на дискетах и т.д. Кроме того, нельзя забывать о таком вопросе, как элементарная комфортность работы. Сотрудники, чувствующие за собой постоянный контроль, испытывающие жесткие ограничения при работе с компьютером, Интернетом, почтой или, к примеру, с телефонными переговорами, становятся нервными, раздражительными, копят внутри себя недовольство. Естественно, рано или поздно, это приведет к потере ценного сотрудника, или же к желанию сотрудника попробовать обойти эти ограничения и запреты.

Из всего вышесказанного можно сделать вывод, что контролировать и ограничивать, ставя все мыслимые и не мыслимые запреты, не имеет смысла. Лучше определить круг людей, которые по роду своей работы имеют доступ к конфиденциальной информации, и далее грамотно настроить систему разграничения прав доступа, несмотря на то, что обслуживание такой системы будет требовать кропотливой настройки и аккуратного сопровождения.

Таким образом, становится понятным, что одним из главных шагов на пути к обеспечению конфиденциальности информации является разграничение доступа сотрудников к ресурсам корпоративной информационной системы с целью ограничить спектр информации доступной тому или иному сотруднику пределами, необходимыми для исполнения им должностых обязанностей.

Рассмотрим наиболее актуальные механизмы разграничения доступа.

Дискреционная модель разграничения доступа определяется двумя свойствами:

Все субъекты и объекты идентифицированы;

Права доступа субъектов на объекты системы определяются на основании некоторого внешнего по отношению к системе правила.

Основным элементом систем дискреционного разграничения доступа является матрица доступов. Матрица доступов - матрица размером \S\ х \0\, строки которой соответствуют субъектам, а столбцы со­ответствуют объектам. При этом каждый элемент матрицы досту­пов M с R определяет права доступа субъекта s на объект о, где R - множество прав доступа.

При использовании дискреционного механизма управления доступом к нему предъявляются следующие требования:

Система защиты должна контролировать доступ наименованных субъектов (пользователей) к наименованным объектам (файлам, программам, томам и т.д.).

Для каждой пары (субъект - объект) в средстве вычислительной техники (СВТ) должно быть задано явное и недвусмысленное перечисление допустимых типов доступа (читать, писать и т.д.), т.е. тех типов доступа, которые являются санкционированными для данного субъекта (индивида или группы индивидов) к данному ресурсу СВТ (объекту).

Система защиты должна содержать механизм, претворяющий в жизнь дискреционные правила разграничения доступа.

Контроль доступа должен быть применим к каждому объекту и каждому субъекту (индивиду или группе равноправных индивидов).

Механизм, реализующий дискреционный принцип контроля доступа, должен предусматривать возможности санкционированного изменения правил или прав разграничения доступа (ПРД), в том числе возможность санкционированного изменения списка пользователей СВТ и списка защищаемых объектов.

Право изменять ПРД должно предоставляться выделенным субъектам (администрации, службе безопасности и т.д.).

Должны быть предусмотрены средства управления, ограничивающие распространения прав на доступ.

К достоинствам дискреционной политики безопасности можно отнести относительно простую реализацию системы разграниче­ния доступа. Этим обусловлен тот факт, что большинство распро­страненных в настоящее время компьютерных систем обеспечи­вают выполнение требований именно данной политики безопас­ности.

К недостаткам дискреционной политики безопасности отно­сится статичность определенных в ней правил разграничения до­ступа. Данная политика безопасности не учитывает динамику из­менений состояний компьютерной системы. Кроме того, при ис­пользовании дискреционной политики безопасности возникает вопрос определения правил распространения прав доступа и ана­лиза их влияния на безопасность компьютерной системы. В общем случае при использовании данной политики безопасности перед системой защиты, которая при санкционировании доступа субъек­та к объекту руководствуется некоторым набором правил, стоит алгоритмически неразрешимая задача - проверить, приведут ли его действия к нарушению безопасности или нет.

В то же время имеются модели компьютерных систем, реализу­ющих дискреционную политику безопасности, которые предоставля­ют алгоритмы проверки безопасности.

Тем не менее, в общем случае дискреционная политика разгра­ничения доступа не позволяет реализовать ясную и четкую систему защиты информации в компьютерной системе. Этим обусловлива­ется поиск других, более совершенных политик безопасности.

Мандатная (полномочная) модель разграничения доступа основана на мандатном разграничении доступа (Mandatory Access Control), которое опре­деляется четырьмя условиями:

Все субъекты и объекты системы однозначно идентифициро­ваны;

Задана решетка уровней конфиденциальности информации;

Каждому объекту системы присвоен уровень конфиденци­альности, определяющий ценность содержащейся в нем инфор­мации;

Каждому субъекту системы присвоен уровень доступа, опре­деляющий уровень доверия к нему в компьютерной системе.

Основная цель мандатной политики безопасности - предотв­ращение утечки информации от объектов с высоким уровнем до­ступа к объектам с низким уровнем доступа, т.е. противодействие возникновению в компьютерной системе неблагоприятных инфор­мационных потоков сверху вниз.

Во многом целью её разработки являлось устранение недостатков матричных моделей. Были разработаны так называемые многоуровневые модели защиты. Они предполагают формализацию процедуры назначения прав доступа посредством использования, так называемых меток конфиденциальности или мандатов, назначаемых субъектам и объектам доступа. Так, для субъекта доступа метки, например, могут определяться в соответствии с уровнем допуска лица к информации, а для объекта доступа (собственно данные) - признаками конфиденциальности информации. Признаки конфиденциальности фиксируются в метке объекта. Права доступа каждого субъекта и характеристики конфиденциальности каждого объекта отображаются в виде совокупности уровня конфиденциальности и набора категорий конфиденциальности. Уровень конфиденциальности может принимать одно из строго упорядоченного ряда фиксированных значений, например: конфиденциально, секретно, для служебного пользования, несекретно и т.п.

Основу реализации управления доступом составляют:

Формальное сравнение метки субъекта, запросившего доступ, и метки объекта, к которому запрошен доступ.

Принятие решений о предоставлении доступа на основе некоторых правил, основу которых составляет противодействие снижению уровня конфиденциальности защищаемой информации.

Таким образом, многоуровневая модель предупреждает возможность преднамеренного или случайного снижения уровня конфиденциальности защищаемой информации. То есть эта модель препятствует переходу информации из объектов с высоким уровнем конфиденциальности и узким набором категорий доступа в объекты с меньшим уровнем конфиденциальности и более широким набором категорий доступа.

Требования к мандатному механизму состоят в следующем:

Каждому субъекту и объекту доступа должны сопоставляться классификационные метки, отражающие их место в соответсвующей иерархии (метки конфиденциальности). Посредством этих меток субъектами объектам должны назначаться классификационные уровни (уровни уязвимости, категории секретности и т. п.), являющиеся комбинациями иерархических и неиерархических категорий. Данные метки должны служить основой мандатного принципа разграничения доступа.

Система защиты при вводе новых данных в систему должна запрашивать и получать от санкционированного пользователя классификационные метки этих данных. При санкционированном занесении в список пользователей нового субъекта ему должны назначатьсяклассификационные метки. Внешние классификационные метки(субъектов, объектов) должны точно соответствовать внутренним меткам (внутри системы защиты).

Система защиты должна реализовывать мандатный принцип контроля доступа применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов:

Субъект может читать объект, только если иерархическая классификация в классификационном уровне субъекта не меньше, чем иерархическая классификация в классификационном уровне объекта. При этом иерархические категории в классификационном уровне субъекта должны включать в себя все иерархические категории в классификационном уровне объекта;

Субъект осуществляет запись в объект, только если классификационный уровень субъекта в иерархической классификации не больше, чем классификационный уровень объекта в иерархической классификации. При этом все иерархические категории в классификационном уровне субъекта должны включаться в иерархические категории в классификационном уровне объекта.

Реализация мандатных ПРД должна предусматривать возможность сопровождения, изменения классификационных уровней субъектов и объектов специально выделенными субъектами.

В СВТ должен быть реализован диспетчер доступа, т.е. средство, во-первых, осуществляющее перехват всех обращений субъектов к объектам, а во-вторых, разграничивающее доступ в соответствии с заданным принципом разграничения доступа. При этом решение о санкционированности запроса на доступ должно приниматься только при одновременном разрешении его и дискреционными, и мандатными ПРД. Таким образом, должны контролироваться не только единичный акт доступа, но и потоки информации.

Практика показывает, что многоуровневые модели защиты находятся гораздо ближе к потребностям реальной жизни, нежели матричные модели, и представляют собой хорошую основу для построения автоматизированных систем разграничения доступа. Причем, так как отдельно взятые категории одного уровня равнозначны, то, чтобы их разграничить наряду с многоуровневой (мандатной) моделью, требуется применение матричной модели. С помощью многоуровневых моделей возможно существенное упрощение задачи администрирования. Причем это касается как исходной настройки разграничительной политики доступа (не требуется столь высокого уровня детализации задания отношения субъект-объект), так и последующего включения в схему администрирования новых объектов и субъектов доступа.

Модель разграничения информационных потоков основана на разделении всех возможных информационных потоков между объектами системы на два непересекающихся множества: множе­ство благоприятных информационных потоков и множество не­благоприятных информационных потоков. Цель реализации модели разграничения информационных потоков состоит в том, что­бы обеспечить невозможность возникновения в компьютерной системе неблагоприятных информационных потоков.

Модель разграничения информационных потоков в большин­стве случаев используется в сочетании с механизмами другого вида, например с моделями дискреционного или мандатного разгра­ничения доступа. Реализация модели разграничения информационных потоков, как правило, на практике является трудной для решения задачей, особенно, если необходимо обеспечить за­щиту компьютерной системы от возникновения неблагоприятных информационных потоков по времени.

Ролевое разграничение доступа является развитием политики дискреционного разграничения доступа; при этом права доступа субъектов системы на объекты группируются с учетом специфики их применения, образуя роли.

Задание ролей позволяет определить более четкие и понятные для пользователей компьютерной системы правила разграниче­ния доступа. Ролевое разграничение доступа позволяет реализо­вать гибкие, изменяющиеся динамически в процессе функциони­рования компьютерной системы правила разграничения доступа. На основе ролевого разграничения доступа, в том числе, может быть реализовано мандатное разграничение доступа.

Целью реализации модели изолированной программной сре­ды является определение порядка безопасного взаимодействия субъектов системы, обеспечивающего невозможность воздействия на систему защиты и модификации ее параметров или конфигу­рации, результатом которых могло бы стать изменение реализуе­мой системой защиты политики разграничения доступа.

Модель изолированной программной среды реализуется пу­тем изоляции субъектов системы друг от друга и путем контроля порождения новых субъектов таким образом, чтобы в системе мог­ли активизироваться только субъекты из предопределенного спис­ка. При этом должна контролироваться целостность объектов сис­темы, влияющих на функциональность активизируемых субъектов.

Корпоративная информационная среда Белорусского государственного университета состоит из нескольких десятков приложений и сервисов, написанных в разное время. Большая часть из них представляет собой объекты ActiveX, оставшиеся – web-приложения. Все они в большинстве случаев независимы и не имеют встроенных средств для организации взаимодействия. В данном случае, очевидным является выбор ролевой модели доступа, которая является развитием дискреционной модели разграничения доступа. Реализация какой-либо другой модели в условиях корпоративной информационной системы Белорусского государственного университета является почти невозможной.

Разграничение доступа к столь разнородным и слабоинтегрированным системам может быть построено путём выделения пользователем прав на доступ к тем или иным приложением на основании их членства в соответствующих группах на контроллере домена, а также прав на исполнение хранимых процедур на серверах баз данных, с использованием которых работают все компоненты информационной системы.

Сравнивая представленные системы, можно сказать, что в ERP система берёт на себя всю полноту ответственности за аутентификацию и авторизацию пользователей. Кроме традиционной парольной аутентификации, она предлагает широкий спектр других механизмов, предоставляемых различными моделями корпоративной информационной системы.

Система безопасности слабоинтегрированной информационной системы возлагает процедуры аутентификации и авторизации на встроенные средства контроллера домена Microsoft Windows, чем значительно уменьшает затраты на свою эксплуатацию и обеспечивает достаточно надёжное функционирование. Однако средства управления пользователями Microsoft Windows не ориентированы на такое использование, поэтому являются не вполне удобными при контроле за распределением доступа, что негативно влияет на безопасность корпоративной информационной системы.

Из вышесказанного следует, что приложение, которое сможет централизованно управлять правами пользователей на досутп к тем или иным приложениям существенно упростит работу администраторов корпоративной информационной системы БГУ, а также позволит более тщательно отслеживать права пользователя на доступ к данным различных приложений. Что в свою очередь, очевидно, приведёт к существенному улучшению работы системы безопасности.

Таким образом, передо мной стояла задача создания такой системы. Рассмотрим подробнее особенности решения такой задачи.

При проектировании такой системы необходимо учесть некоторые особенности, необходимые для нормального функционирования как самого приложения в частности, так и всей корпоративной информационной системы в целом.

Поскольку система управления пользователями в Windows Active Directory может использоваться не только для предоставления доступа к ресурсам корпоративной информационной системы БГУ, поэтому в работе приложения стоит учитывать это, чтобы пользователи не потеряли права, которые им действительно необходимы и не получили лишних полномочий. Для этого в системе организован механизм хранения априорных прав пользователя, которые были присвоены ему не данной системой управления доступом, а при используя средства Windows Active Directory.

Похожая ситуация складывается и в разделе управления пользователями на SQL серверах. Однако, как говорилось выше, механизм разграничения прав доступа БГУ при доступе к ресурсам SQL сервера построена по ролевому признаку, а значит, нет необходимости хранить данные о правах доступа пользователя к каждому из объектов того или иного SQL сервера. Все эти данные хранятся в правах группы на сервере. Таким образом, системе управления доступом достаточно хранить только такие поля как название сервера, название самой базы данных, а так же название роли пользователя.

Обратимся подробнее к системе распределения доступа.

Данная система представляет собой web-приложение, реализованное средствами ASP.NET 1.1 и использующее сервер баз данных Microsoft SQL Server 2000 SP3.

База данных состоит из следующих таблиц:

· Основные таблицы

o Users – хранит идентификатор объекта пользователя, имя пользователя, его логин и, если это необходимо, дополнительную текстовую информацию.

o Applications – хранит в себе идентификатор приложения, его название и, если это необходимо, дополнительную текстовую информацию.

o WinADGroups – хранит идентификатор объекта группы, её название, и, если это необходимо, дополнительную текстовую информацию.

o SQLGroups - хранит идентификатор группы, её название, имя сервера, базы данных а также роль, которые сопоставлены данной группе и, если это необходимо, дополнительную текстовую информацию.

· Вспомогательные таблицы

o SQLGroups2Apps

o WinGroups2Apps

o UsersPriorSQLGroups

o UsersPriorWinGroups

Основные таблицы хранят в себе данные о пользователях, приложения и группах на контроллере домена, а также роля на различных SQL серверах. Вспомогательные таблицы обеспечивают связи «многие-ко-многим», которые имеются в системе.

Обращения к таблицам производятся при помощи нескольких десятков хранимых процедур. Использование хранимых процедур, а также SQL-параметров позволяет эффективно защитить приложение от SQL инъекций, которые являются одним из главных путей для взлома web-приложений использующих базы данных, в последнее время. Схема бахзы данных представлена на рисунке.

Приложение состоит из 8 .aspx страниц предназначенных для управления доступом. Обратимся к работе приложения подробнее.

Страница WinGroupsAdd.aspx служит для добавления в систему идентификаторов групп на контроллере домена. Пользователь вводит имя группы. Система производит поиск групп на контроллере домена и предоставляет список похожих по названию групп. Пользователь выбирает нужную группу, если это необходимо вводит текстовое описание этой группы и нажимает на клавишу сохранить. Данные о группе сохраняются в базе данных приложения.

С использованием страницы WinGroupsEdit.aspx пользователь может отредактировать раннее введённую информацию о группе, а именно, её текстовое описание. Кнопка удалить удаляет всю информацию о группе в системе, а также производит механизм удаления пользователей из данной, при условии, что онибыли добавлены туда данной системой. Для проверки служит таблица UserPriorWinGroups.

Страница SQLGroupsAdd.aspx служит для добавления в систему данных для использования групп на SQL сервере. Пользователь вводит имя сервера, название базы данных и роли, в соответствующей базе данных. Если это необходимо, пользователь вводит текстовое описание этой группы и нажимает на клавишу сохранить. Данные о группе сохраняются в базе данных приложения.

С использованием страницы SQLGroupsEdit.aspx пользователь может отредактировать раннее введённую информацию о группе, а именно, её текстовое описание. Остальные поля недоступны для редактирования поскольку для внесения таких изменений необходимо создание новой группы пользователей. Кнопка удалить удаляет всю информацию о группе в системе, а также производит механизм удаления пользователей из данной, при условии, что онибыли добавлены туда данной системой. Для проверки служит таблица UserPriorSQLGroups.

Страница ApplicationAdd.aspx служит для добавления приложений в систему. На данной странице пользователь может ввести название приложения, его текстовое описание, а также выбрать необходимые для работы с этим приложение группы как на SQL серверах, так и на контроллере домена. Выбор производится из соответствующих списков групп, имеющихся в базе данных системы. Кнопка сохранить запомнит соответствующие данные в системе, а кнопка отменить вернёт вас на эту же страницу без выполнения каких либо действий. Только очистит все введённые данные.

Используя ApplicationEdit.aspx, вы можете изменить описание приложения, а также набор нужных для его использования групп. При нажатии кнопки сохранить. Система обновит данные в своей базе данных, а также изменит соответствующим образом права пользователей, имеющих доступ к данному приложению.

Страница UserAdd.aspx предназначена для добавления пользователей в систему. Этот процесс происходит следующим образом. Пользователь вводит полностью или частично имя пользователя, который должен быть добавлен в систему. Производится поиск на контролере домена. После чего пользователю выдаётся список подходящих вариантов имён пользователей. Выбирается искомый пользователь домена и для него выбираются нужные приложения. Кнопка сохранить запомнит соответствующие данные в системе, а кнопка отменить вернёт вас на эту же страницу без выполнения каких либо действий. Только очистит все введённые данные.

Используя UserEdit.aspx пользователь может добавить или удалить право доступа к тем ли и иным приложением, а также удалить пользователя из базы данных приложения.

В данной работе проведён анализ корпоративных информационных систем: их структуры и механизмов обеспечения безопасности. Все корпоративные информационные системы были разделены на 2 класса: сильноинтегрированные системы, яркими представителями которых являются ERP системы, а также слабоинтегрированные системы выстроенные из нескольких десятков отдельных, иногда совершенно не связанных приложений. Управление доступом в абсолютном большинстве из них построено на основе ролевой дискреционной модели разграничения прав пользователей с централизованным управлением доступом.

Проведён анализ существующих угроз для корпоративных информационных систем, а также способов их предотвращения. Статистические данные говорят о том, что главной проблемой нас сегодняшний день является проблема защиты от халатных или преступных действий сотрудников корпорации. Проанализированы методы защиты от таких действий, главным из которых признан метод разграничения доступа пользователей к корпоративной информационной системе.

Проведено исследование существующих способов разграничения доступа и анализ их применимости тех или иных условиях. Выбрана методика, наиболее подходящая для организации разграничения доступа к корпоративным информационным ресурсам Белорусского государственного университета. На базе неё построено приложение, позволяющее управлять доступом пользователей к ресурсам данной корпоративной информационной системе. Оно обеспечивает связь между приложениями, системами управления базами данных и объектами Active Directory. Разработанная система позволяет глобально управлять доступом к разнородным приложениями. Гибкая система управления доступом позволяет ориентировать на себя разработку новых приложений и поддерживает управление уже написанными приложениями без внесения каких-либо изменений в их код.

1. Малюк А. А. Информационная безопасность: концептуальные и методологические основы защиты информации. Москва: Горячая Линия-Телеком, 2004.

2. Белов Е.Б. Лось В.П. Основы информационной безопасности. Москва: Горячая Линия-Телеком, 2006.

3. Романец Ю.В. Тимофеев П.А. Защита информации в компьютерных системах и сетях. Москва: Радио и Связь 2001.

4. Ярочкин В.И. - Информационная безопасность Учебник для студентов вузов. - М.: Академический Проект; Гаудеамус.

5. Noel Simpson. Accessing and Manipulating Active Directory with ASP. NET.

6. Joe Kaplan, Ryan Dunn. The .NET Developer"s Guide to Directory Services Programming (Microsoft .NET Development Series)

7. Matthew MacDonald. Beginning ASP.NET 1.1 in C#: From Novice to Professional (Novice to Professional).

8. Hank Meyne, Scott Davis Developing Web Applications with ASP.NET and C#.

9. Робин Дьюсон SQL Server 2000. Программирование. Москва: Бином, 2003.

10. П. Шумаков ADO.NET и создание приложений баз данных в среде Microsoft Visual Studio.NET Москва: Диалог-МИФИ, 2004 г.

Active Directory........................................................................................................................................................................... 31 , 36

ERP.................................................................................................................................................................... 3 , 5 , 6 , 7 , 8 , 30 , 35 , 39

MRP................................................................................................................................................................................................. 3 , 6

Атака ............................................................................................................................................................................................... 11

Доступность .................................................................................................................................................................................. 10

Комплекс средств защиты .......................................................................................................................................................... 11

Конфиденциальность данных ......................................................................................................................................................... 9

Несанкционированный доступ к информации ............................................................................................................................... 9

Объект ............................................................................................................................................................................................. 10

Политика безопасности ................................................................................................................................................................ 11

Правила разграничения доступа .................................................................................................................................................... 9

Санкционированный доступ к информации ................................................................................................................................... 9

Субъект ............................................................................................................................................................................................ 10

Ущерб безопасности ...................................................................................................................................................................... 10

Уязвимость ..................................................................................................................................................................................... 10

Целостность ............................................................................................................................................................................ 10, 12

1. http://xakep.ru – один из наиболее продвинутых русских сайтов, посвященных анализу уязвимостей информационных систем, их эксплойтов, возможным способам взлома систем и их защиты.

2. http://www.webxakep.ru –сайт посвящен взлому информационных систем, а также мерам по защите от атак.

3. http://msdn.microsoft.com – сайт ориентирован для разработчиков, ориентированных на технологические решения Microsoft, содержит документацию по продуктам этой компании, примеры кода, технические статьи, справочные и учебные материалы, самые последние обновления, расширения, последние новости, форум подписчиков.

4. http://microsoft.com – собственно сайт компании Microsoft

5. http://sdn.sap.com/ – портал для разработчиков, ориентированных на технологические решения компании SAP, мирового лидера на рынке ERP- и корпоративных продуктов. Основной интернет ресурс, посвященный всему, что связано с SAP информационными ресурсами

Слайд 1 – Титульный слайд Слайд 2 – Введение. Цели.

Слайд 3 – Понятие КИС Слайд 4 – Классификация КИС

Слайд 5 – Классификация угроз Слайд 6 – Классификация угроз

Слайд 7– Источники угроз Слайд 8 – Меры предотвращения угроз

Слайд 9– Меры борьбы с угрозами Слайд 10 – Механизмы разграничения доступа

Слайд 11 – КИС БГУ Слайд 12 – Модель БД для разработанной системы

Слайд 13 – Демонстрация приложения Слайд 14 – Заключение

1. Афанасьев, Д. Office XP/ Д. Афанасьев, С. Баричев, О. Плотников. – М.: Кудиц-Образ, 2002. – 344 с.

2. Ахметов, К.С. Знакомство с Microsoft Windows XP / К.С. Ахметов. – М.: Русская Редакция, 2001. – 210 с.

3. Ботт, Эд. Windows XP / Э. Ботт, К. Зихерт. – Питер, 2006. – 1068с.

4. Виллетт, Э. Office XP. Библия пользователя / Э. Виллетт; [Пер. с англ. Дериевой Е.Н. и др.], 2002. – 843 с.

5. Зайден, М. Word 2000 / М. Зайден. – М.: Лаб. базовых знаний, 2000. – 336 с.

6. Каймин, В.А. Информатика: практикум на ЭВМ: учебное пособие / В.А. Каймин, Б.С. Касаев; Инфра-М. – М, 2001. – 215c.

7. Кишик, А.Н. Office XP. Эффективный самоучитель: Быстро... Просто... Наглядно. / А.Н. Кишик. – М.: 2002. – 426 с.

8. Косцов, А.В. Все о персональном компьютере: большая энциклопедия / А.В. Косцов, В.М. Косцов. – М.: Мартин, 2004. – 718 с.

9. Коцюбинский, А.О. Microsoft Office XP: Новейшие версии программ / А.О. Коцюбинский. – М.: Триумф, 2001. – 469 с.

10. Коцюбинский, А.О. Хрестоматия работы на компьютере: учеб. пособие / А.О. Коцюбинский, А.О. Грошев. – М.: Триумф, 2003. – 496 с.

11. Крупник, А. Поиск в Интернете / А. Крупник. – СПб.: Питер, 2001. – 209 с.

12. Крупский, А.Ю. Текстовый редактор Microsoft Word. Электронные таблицы Microsoft Excel: учебное пособие / А.Ю. Крупский, Н.А. Феоктистов; М-во образования Рос. Федерации, Моск. ин-т гос. и корпоратив. упр. М. : Дашков и К. – М., 2004. – 135 с.

13. Левин А. Краткий самоучитель работы на компьютере / А. Левин. – М.: Изд-во А.Левина, 2001.

14. Левкович, О.А. Основы компьютерной грамотности / О. А. Левкович, Е. С. Шелкоплясов, Т. Н. Шелкоплясова. – Минск: ТетраСистемс, 2004. – 528 с.

15. Лозовский, Л.Ш. Интернет - это интересно! / Л.Ш. Лозовский, Л.А. Ратновский. – М.: Инфра-М, 2000.

16. Макарова, Н.В. Информатика: Практикум по технологии работы на компьютере: учеб. пособие / Н.В. Макарова [и др.]; под ред. Н.В. Макаровой. – М.: Финансы и статистика, 2000. – 255 с.

17. Олифер, В.Г. Компьютерные сети. Принципы, технологии, протоколы / В.Г. Олифер, Н.А. Олифер. – СПб.: Питер, 2000.

18. Попов, В.Б. Основы компьютерных технологий: учеб. пособие / В.Б. Попов; Финансы и статистика. – М., 2002. – 703 с.

19. Перепелкин, В. Пользователь персонального компьютера. Современный курс / В. Перепелкин. – Ростов н/Д: Феникс, 2002. – 703 с.

20. Стоун, М.Д. Ваш PC. Проблемы и решения / М.Д. Стоун, П. Альфред. – М.: Эконом, 2001.

21. Якушина, Е. Изучаем Интернет, создаем Web-страничку / Е. Якушина. – Спб.: Питер, 2001.

22. Учебник по HTML для чайников [Электронный ресурс] / Портал Постройка.ру. М., 2007. – Режим доступа: http://www.postroika.ru/html/content2.html. – Дата доступа: 21.09.2008.

23. Высшая аттестационная комиссия Республики Беларусь [Электронный ресурс] / ВАК Беларуси. – Минск, 2007. – Режим доступа: http://vak.org.by/ – Дата доступа: 18.11.2008.