Модернизация системы информационной безопасности БТИ

The Summary

The explanatory note contains 113 pages, which include 23 drawings, 32 tables, 1 appendix and a list of 40 bibliographic sources. The graphic part has been fulfilled on 13 A4 pages. The graduation project deals with the modernization of information security system for Federal State Unitary Enterprise (FSUE) “Rostechinventarizatsia – Federalnoye BTI”. 

The project performs an analysis of the existing system of information security, defines requirements to information security system of the enterprise as well as the class of protection of the Computer-Aided Data Processing System (CАDPS) against unauthorized access and the protection class of Computer Equipment (CE). The paper performs an analysis of meeting the requirements of the State Technical Commission (STC) to the information security system of the FSUE, detects facts of nonconformity and raises a question of information security system modernization. Within the framework of modernization of the information security system of the enterprise a programming tool for control of user access has been developed together with the model of access isolation.

In the “Workplace safety” section an evaluation of harmful factors has been carried out and measures for improvement of safety of working conditions have been offered. 

In the section “Evaluation of economic effect of modernization of information security system of FSUE” estimating of costs for the development and making of the programming tool is presented.

Содержание

Введение

В настоящее  время информационная  безопасность (ИБ) является неотъемлемым аспектом существования коммерческих, государственных и частных организаций. Защита информации имеет серьезные причины, ведь в случае утечки информации организации могут понести не поправимый ущерб, а именно, финансовые потери, которые в конечном итоге могут привнести к деструкции организации. Но наиболее серьезны последствия в случае утечки информации, собственником которой является государство. Так как в результате данной угрозы будут затронуты интересы государства.

Но задача защиты информации является не такой уж и  легкой. Поэтому были разработаны государственные стандарты и требования к системам защиты информации (СЗИ). На сегодняшний день этим стандартом является руководящий документ Государственной технической комиссией при Президенте РФ (ГТК). Требованиям, определенным в этом документе ГТК, должны соответствовать все СЗИ которые предназначены для защиты конфиденциальной  информации. Но в случае несоответствия СЗИ требованиям ГТК должен стоять вопрос о модернизации системы ИБ.

В рамках дипломного проекта рассматривается объект, использующий в в процессе документооборота информацию, являющуюся собственностью государства. Таким образом, можно сделать вывод, что  данный объект подлежит анализу на соответствие требований выставленных ГТК, и в случае не соответствия – подлежит модернизации.

Темой дипломного проекта является: Модернизация системы информационной безопасности для ФГУП «Ростехинвентаризация – Федеральное БТИ».

Целью проекта  является: Повышение уровня защищенности системы информационной безопасности в ФГУП «Ростехинвентаризация – Федеральное БТИ».

Диплом состоит  из 5 глав. Краткое описание каждой из них приведено ниже.

В первой главе рассмотрена задача построения информационной безопасности, для решения которой проводится характеристика информационной системы предприятия, угроз ИБ, и выдвижение требований к системе защиты информационной безопасности.

Во второй главе  затрагиваются вопросы проектирования системы информационной безопасности в рамках государственных стандартов. Определяются требования к системе информационной в рамках тех же государственных стандартов. Так же производится анализ существующей системы ИБ, и выявление несоответствий требованиям государственных стандартов.

Третья глава  посвящена устранению недостатка в  системе ИБ предприятия. А именно разработке программного средства для разграничения доступа пользователям и группа АСОД предприятия. Для этого проводится разработка модели разграничения доступа, разработка алгоритма программы и описание разработанного программного продукта предназначенного для разграничения доступа на предприятии.

В четвертой  главе проводится анализ безопасности условий труда на возможные вредные факторы. Предлагаются мероприятия по их устранению. Так же производится расчет одного из вредных факторов и моделирования возможных чрезвычайных ситуаций.  

В пятой главе  производится оценка экономического эффекта от модернизации системы информационной безопасности ФГУП.

1 Задача  построения системы информационной  безопасности для ФГУП «Ростехинвентаризация  – Федеральное БТИ»

1.1 Характеристика  информационных технологий и  информационной вычислительной  системы ФГУП «Ростехинвентаризация – Федеральное БТИ»

Оренбургский  филиала ФГУП «Ростехинвентаризация  – Федеральное БТИ» состоит из трех межмуниципальных отделений, двух дополнительных офисов в Центральном межмуниципальном отделении, дополнительного офиса Красногвардейского в Бузулукском межмуниципальном отделении и 31 производственный участок.

Деятельностью предприятия является проведение работ  по технической инвентаризации и  оказывающих услуги в данном направлении.  

В рамках проведения работ по технической инвентаризации Федеральное БТИ осуществляет:

• обследование объектов;
• составление технической документации;
• справки о состоянии зданий;
• справки о стоимости объектов;
• изготовление и выдача заказчику технического паспорта;
• изготовление и выдача заказчику кадастрового паспорта.

Также ФГУП «Ростехинвентаризация – Федеральное БТИ» осуществляет:

• выдачу технических заключений о капитальности здания;
• постановку на учет объектов капитального строительства;
• архивное хранение технической документации.

На рисунке 1.1 представлена организационная структура ФГУП.

Из структуры  видно, что предприятие разделено  на отделы, выполняющие определенные этапы технологического процесса (документооборот) или его обслуживание. Органом, управляющим процессом и контролирующим его выполнением является управление главного офиса (Управление ГО). Управление отделами осуществляют ведущие специалисты (начальники отделов). Таким образом, можно сказать что структура имеет иерархический тип, что позволяет обеспечить четкое управление предприятием и выполнять работы по технической инвентаризации объектов в короткие сроки /32/.

Так же нельзя не отметить тот факт, что выполнение работ по данному направлению зависит в первую очередь от четко организованного технологического процесса. На рисунке 1.2 представлена структурная схема производственного документооборота  ФГУП.

Согласно схеме  производственного документооборота, заказчик подает перечень документов необходимых для технической  инвентаризации объектов в отдел  приема/выдачи документов, где составляется квитанция стоимости оказываемой услуги по прейскуранту, необходимая для отчетности в бухгалтерии. После оплаты подается заявка на составление технической документации объекта, которая впоследствии отправляется в архив и заносится в кадастровый реестр. Далее проводится оценка стоимости объекта, которая также как техническая документация отправляется в архив. Весь этот процесс контролирует и управляет им управление главного офиса.

Рисунок 1.1–  Организационная структура ФГУП «Ростехинвентаризация – Федеральное БТИ»

Рисунок 1.2 –  Структурная схема производственного документооборота

Согласно схеме  производственного документооборота, заказчик подает перечень документов необходимых для технической инвентаризации объектов в отдел приема\выдачи документов, где составляется квитанция стоимости оказываемой услуги по прейскуранту, необходимая для отчетности в бухгалтерии. После оплаты подается заявка на составление технической документации объекта, которая впоследствии отправляется в архив и заносится в кадастровый реестр. Далее проводится оценка стоимости объекта, которая также как техническая документация отправляется в архив. Весь этот процесс контролирует и управляет им управление главного офиса.

Необходимо так же сказать, что все этапы производственного документооборота обслуживаются высокотехнологичным оборудованием (материально-технической базой).

Предприятие владеет мощной материально-технической базой, использует самые современные технологии. Вся документация в компьютерном исполнении, чертежи даже на самые крупные объекты выполняются с помощью специальных плоттеров, которыми оснащено каждое отделение. 

Оренбургский филиал ФГУП «Ростехинвентаризация – Федеральное  БТИ» (далее ФГУП) оснащен современной компьютерной техникой, высокопроизводительным копировальным и множительным оборудованием. Использует современные технологии передачи и хранения данных.

Для повышения производительности труда все компьютеры объединены в локальную вычислительную сеть (ЛВС). Для обеспечения сохранности данных ЛВС поделена на независимые сегменты (производственные отделы) при помощи технологии VLAN.

Из локальной сети часть  пользователей имеет доступ в  глобальную сеть Internet для обмена электронной почтой и возможности поиска технической документации и других материалов, необходимых в работе. Работа пользователей всех подразделений в единой информационной базе данных позволяет вести автоматизированный учет выполнения работ по технической инвентаризации. Программа автоматически проверяет наличие информации об объекте недвижимости и правообладателях в базе данных, корректность внесения адресов объектов. Эти меры позволяют исключить дублирование информации об объектах недвижимости и избавиться от неконтролируемого разрастания базы данных.

Пользовательские рабочие места подключаются к серверам предприятия в терминальном режиме, что обеспечивает высокие показатели скорости работы приложений на удаленных терминалах.

Так же с использованием терминального доступа реализована  работа в программе «1С Бухгалтерия». Это решение позволяет хранить информацию на центральном сервере предприятия, что гарантирует сохранность данных, и обеспечивает оперативный контроль и получение информации о финансово-хозяйственной деятельности подразделений.

В Оренбургском филиале используется программный комплекс собственной разработки на основе Inter Base SQL server, обеспечивающий полный рабочий процесс предприятия от приема заявок до сдачи дел в электронный архив.

Комплекс разрабатывался и постоянно модифицируется с  учетом требований действующего законодательства, требований нашего Предприятия по документообороту, и других нормативных актов. Программное обеспечение изначально создавалось с учетом возможности оперативного изменения формата вносимых данных и пользовательского интерфейса, что позволит очень быстро приспособить его к будущим изменениям в структуре кадастра объектов недвижимости. Программный комплекс рассчитан на эксплуатацию с использованием технологии VPN и при своей работе требует минимальных сетевых ресурсов. Готовая техническая документация печатается на двухсторонних высокопроизводительных сетевых принтерах и плоттерах. В Оренбургском филиале ФГУП «Ростехинвентаризация» создана единая информационная система. Межмуниципальные отделения и производственные участки подключены через каналы регионального провайдера к сети головного офиса с использованием технологии VPN (виртуальная частная сеть). Технология VPN была выбрана для этих целей как обеспечивающая надежную систему передачу данных и высокий уровень защиты информации от неправомерного доступа извне. Применение технологии VPN позволяет реализовать следующее.

1. Единое пространство сети предприятия.

2. Полную прозрачность сети для сотрудников предприятия.

3. Защиту информации от  несанкционированного доступа сторонних лиц.

4. Внедрение единой АСУ в существующие структуры сетей компании и полную интеграцию в существующий производственный документооборот.

5. Масштабирование существующей сети предприятия и  подключение дополнительных офисов компании в единую сеть предприятия.

6. Голосовую связь внутри сети.

Работу VPN поддерживают и обслуживают четыре сервера  на базе ОС FreeBSD  и телекоммуникационное оборудование Cisco. ЛВС предприятия имеет две точки подключения к глобальной сети Internet, что позволяет повысить надежность передачи данных/32/.

По верх ЛВС  предприятия развернута служба каталогов  АctiveDirectory, позволяющая в полной мере управлять доступом пользователей  и групп к информационным ресурсам ФГУП.

На рисунке 1.3 изображена структурная схема ЛВС ФГУП «Ростехинвентаризация – Федеральное БТИ».

Рисунок 1.3 –  Структурная схема ЛВС ФГУП «Ростехинвентаризация – Федеральное БТИ»

Необходимо  кратко рассмотреть основные сетевые  информационные технологии, обеспечивающие стабильность и защищенность работы в ЛВС ФГУП «Ростехинвентаризация – Федеральное БТИ». Ниже представлен перечень технологий и последующее их краткое описание.

1. VLАN

2. VPN

3. АctiveDirectory

4. DNS

VLАN.

VLAN (Virtual Local Area Network) - группа устройств, имеющих возможность взаимодействовать между собой напрямую на канальном уровне, хотя физически при этом они могут быть подключены к разным сетевым коммутаторам. И наоборот, устройства, находящиеся в разных VLAN'ах, невидимы друг для друга на канальном уровне, даже если они подключены к одному коммутатору, и связь между этими устройствами возможна только на сетевом и более высоких уровнях/1/.

В современных сетях VLAN —  главный механизм для создания логической топологии сети, не зависящей от её физической топологии. VLAN'ы используются для сокращения широковещательного трафика в сети. Имеют большое значение с точки зрения безопасности, в частности как средство борьбы с ARP-spoofing'ом.

VPN

VPN (Virtual Private Network — виртуальная частная сеть) — обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет). Несмотря на то, что коммуникации осуществляются по сетям с меньшим неизвестным уровнем доверия (например, по публичным сетям), уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям, благодаря использованию средств криптографии (шифрования, аутентификации, инфраструктуры открытых ключей, средств для защиты от повторов и изменений передаваемых по логической сети сообщений).

В зависимости  от применяемых протоколов и назначения, VPN может обеспечивать соединения трёх видов: узел-узел, узел-сеть и сеть-сеть/1/.

Active Directory

Active Directory – LDAP-совместимая реализация службы каталогов корпорации Microsoft для операционных систем семейства Windows NT. Active Directory позволяет администраторам использовать групповые политики (GPO) для обеспечения единообразия настройки пользовательской рабочей среды, развёртывать ПО на множестве компьютеров (через групповые политики или посредством Microsoft Systems Management Server 2003 (или System Center Configuration Manager)), устанавливать обновления ОС, прикладного и серверного ПО на всех компьютерах в сети (с использованием Windows Server Update Services (WSUS); Software Update Services (SUS) ранее). Active Directory хранит данные и настройки среды в централизованной базе данных. Сети Active Directory могут быть различного размера: от нескольких сотен до нескольких миллионов объектов.

Служба каталогов  позволяет решать следующие задачи.

Обеспечение требуемого уровня безопасности, определяемого  администраторами для защиты данных от несанкционированного доступа.

Распределение каталогов по различным компьютерам сети.

Выполнение  репликации каталога, для обеспечения доступа к нему большего числа пользователей и повышение защищенности сети от сбоев.

Разбиение каталогов  на несколько разделов для обеспечения  возможности хранения большого количества объектов.

Служба каталогов  является как средством администратора, так и средством конечного пользователя. По мере роста числа объектов в сети повышается значение службы каталогов/3/.

DNS

DNS (англ. Domain Name System — система доменных имён) — компьютерная распределённая система для получения информации о доменах. Чаще всего используется для получения IP-адреса по имени хоста (компьютера или устройства), получения информации о маршрутизации почты, обслуживающих узлах для протоколов в домене (SRV-запись).

Распределённая база данных DNS поддерживается с помощью иерархии DNS-серверов, взаимодействующих по определённому протоколу.

Основой DNS является представление об иерархической  структуре доменного имени и зонах. Каждый сервер, отвечающий за имя, может делегировать ответственность за дальнейшую часть домена другому серверу (с административной точки зрения — другой организации или человеку), что позволяет возложить ответственность за актуальность информации на серверы различных организаций (людей), отвечающих только за «свою» часть доменного имени.

DNS обладает следующими характеристиками.

Распределённость  администрирования. Ответственность за разные части иерархической структуры несут разные люди или организации.

Распределённость  хранения информации. Каждый узел сети в обязательном порядке должен хранить только те данные, которые входят в его зону ответственности и (возможно) адреса корневых DNS-серверов.

Кэширование информации. Узел может хранить некоторое количество данных не из своей зоны ответственности для уменьшения нагрузки на сеть.

Иерархическая структура, в которой все узлы объединены в дерево, и каждый узел может или самостоятельно определять работу нижестоящих узлов, или делегировать (передавать) их другим узлам.

Резервирование. За хранение и обслуживание своих узлов (зон) отвечают (обычно) несколько серверов, разделённые как физически, так и логически, что обеспечивает сохранность данных и продолжение работы даже в случае сбоя одного из узлов.

DNS важна для  работы Интернета, т.к. для соединения с узлом необходима информация о его IP-адресе, а для людей проще запоминать буквенные (обычно осмысленные) адреса, чем последовательность цифр IP-адреса. В некоторых случаях это позволяет использовать виртуальные серверы, например, HTTP-серверы, различая их по имени запроса. Первоначально преобразование между доменными и IP-адресами производилось с использованием специального текстового файла hosts, который составлялся централизованно и автоматически рассылался на каждую из машин в своей локальной сети. С ростом сети возникла необходимость в эффективном, автоматизированном механизме, которым и стала DNS/2/.

1.2 Классификация  и характеристика угроз информационной  безопасности в ФГУП «Ростехинвентаризация – Федеральное БТИ»

Информационная  безопасность - это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры/4/.

Информационные  ресурсы — отдельные документы  и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах)/7/. Информационные ресурсы могут быть государственными и негосударственными и как элемент состава имущества находятся в собственности граждан, органов государственной власти, органов местного самоуправления, организаций и общественных объединений. Отношения по поводу права собственности на информационные ресурсы регулируются соответствующим гражданским законодательством.

Необходимость классификации угроз информационной безопасности автоматизированных систем обработки данных (АСОД) обусловлена тем, что архитектура современных средств автоматизированной обработки информации, а именно – организационное, структурное и функциональное построение информационно-вычислительных систем и сетей, технологий и условий автоматизированной обработки информации, такие, - что накапливаемая, хранимая и обрабатываемая информация подвержена случайным влияниям чрезвычайно большого числа факторов. Таким образом, пропадает необходимость описания полного множества угроз. Вследствие чего для защищаемой системы необходимо определить не полный перечень угроз, а рассмотреть лишь классы угроз/6/.

Классификация всех возможных угроз информационной безопасности АСОД может быть проведена  по ряду базовых признаков. Классы угроз  АСОД приведены на рисунке 1.4

В каждом классе угроз информационной безопасности можно выделить по несколько видов угроз воздействующих на автоматизированную систему обработки данных. Исходя из этого, была построена таблица видов угроз ИБ для конкретных классов угроз и их характеристика (таблица 1.1).

Рисунок 1.4 –  Классы угроз АСОД

Таблица 1.1 –  Характеристика  видов угроз информационной безопасности АСОД для соответствующих  классов

Продолжение таблицы 1.1

Продолжение таблицы 1.1