На сервере и клиенте запрещено иметь средства разработки;
Категорически запрещено вести разработку ПО на промышленных ресурсах. Для этих целей должны быть выделены отдельные ресурсы;
Каждый субъект должен иметь доступ только к тем объектом, который ему разрешён в соответствии с матрицей доступа.
Защита СУБД
В качестве сервера необходимо использовать MS SQL Server Standard Edition SP3a. Необходимо выполнения следующих мероприятий по защите сервера СУБД:
Доступ к данным осуществлять только через системы ролей. Роли утверждаются генеральным директором предприятия, а затем системный администратор назначает доступ;
Разработку и отладку ПО вести на отдельном сервере. Тестирование также осуществлять на отдельных ресурсах с учётом будущей нагрузки;
Необходимо повысить надёжность электропитания на сервере.
Организационные мероприятия
Самым дешёвым и самым эффективным средством защиты информации является проведение организационных мероприятий. Для защиты Системы необходимо утвердить следующие организационные мероприятия:
Утверждение политики безопасности;
Охрану периметра здания;
Распоряжения о персональном доступе в кроссовое помещение;
Учёт ключей и их выдача лицам, утверждённым в специальном списке, имеющим доступ к серверным помещениям, активному оборудованию и конфиденциальной информации; все действия, выполняемые в этих помещениях, должны документироваться и регистрироваться, т.е. необходимо ведение аудита;
Распоряжение на выдачу конфиденциальной информации в документальном виде;
Регламента о резервном копировании и архивировании, который описывает: кто отвечает за эти действия, а также график их выполнения;
Запрет использования переносных устройств информации;
Должен быть разработан список доступа пользователей к информационным объектам: матрица доступа;
Описание конфигурации серверов, все конфигурационные файлы должны быть зарезервированы (сохранены);
Разработка регламента о получении сведений при перемещении по службе (увольнении): на основании приказов об увольнении служащих или их переводе в другие подразделения необходимо удалить учётную запись, либо изменить права доступа соответственно;
Разработка регламента на использование антивирусов;
Регламент на восстановление системы после сбоев;
Налаживание учёта используемого программного обеспечения: учёт лицензий, стандарт программного обеспечения, рабочего места;
Регламент на профилактику: установка patch-ей
При обнаружении уязвимого места в программном обеспечении установить соответствующий patch. Если же такового ещё нет, то следить за его появлением, а так же за информацией об использовании обнаруженного изъяна злоумышленниками.
Заключение
В результате выполнения работы было рассмотрено функционирование Автоматизированной системы бухгалтерского, налогового и управленческого учета. При анализе деятельности бухгалтерии была выявлена информация, нуждающаяся в защите для его благополучного функционирования. Исходя из этих данных, был проведён анализ возможных угроз, которым могла подвергнуться персональная информация и пользователи, работающие с ней. Выявленные угрозы были классифицированы на внешние и внутренние. Изучив, степень возможного риска появления этих угроз был произведён поиск решений по снижению вероятности появления каждой из них.
Реализация защиты на вертикальной структуре обеспечила объединение пользователей бухгалтерии в отдельный сегмент сети так, чтобы конфиденциальная информация не могла циркулировать в других отделах. В тот же сегмент был помещён сервер баз данных, благодаря чему, доступ к нему имеет только сама бухгалтерия.
Итогом стал список организационных мероприятий, регламентов и распоряжений, благодаря которому основная часть угроз была ликвидирована.
Разработанная подсистема соответствует классу защищенности 1Г, так как существует управление доступом (в систему, к ЭВМ, внешним устройствам ЭВМ, каналам связи), регистрация и учет (регистрация входа/выхода субъектов доступа в/из системы, выдачи печатных выходных документов, учета носителей информации и т.д.), обеспечение целостности (обеспечение целостности ПО и обрабатываемой информации, физическая охрана средств вычислительной техники и носителей информации, периодическое).
Стоит отметить, что в рамках данной работы были удовлетворенны следующие требования к защите системы класса 1Г:
-идентификация, проверка подлинности и контроль доступа субъектов;
-регистрация и учет (входа/выхода субъектов в/из системы; выдачи печатных выходных документов; запуска/завершения программ и процессов; доступа программ субъектов к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи);
-физическая охрана средств вычислительной техники и носителей информации;
-наличие средств восстановления системы.
Среди существующих требований класса 1Г есть и такие, которые не были решены полностью:
-обеспечение целостности программных средств и обрабатываемой информации;
-очистка (обнуление) освобождаемых областей ОП Серверов и внешних носителей.
Предложенные средства и регламенты по защите конфиденциальной информации системы в сети позволяют значительно снизить риски ее кражи.
Список литературы
1. Конев И.Р., Беляев А.В. Информационная безопасность предприятия. – СПб.: БХВ-Петербург, 2003. – 752 с.:ил.
2. Лекции Н.А. Некучаевой по дисциплине “Информационная безопасность и защита информации”, 2005г.
Приложение №1. Схема АСОИ предприятия.
