Обеспечение комплексной информационной безопасности в организации

ВВЕДЕНИЕ 5
1. ТЕОРЕТИЧЕСКИЕ АСПЕКТЫ ВОПРОСА ОБЕСПЕЧЕНИЯ
БЕЗОПАСНОСТИ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ 12
1.1 Правовые основы понятия критической информационной инфраструктуры 12
1.2 Критическая информационная инфраструктура как объект обеспечения
безопасности 15
1.3 Анализ существующих методов обеспечения информационной
безопасности критической информационной инфраструктуры 21
1.4 Принципы обеспечения комплексной безопасности критической
информационной инфраструктуры 26
1.5 Выводы по разделу 1 30
2 ИССЛЕДОВАНИЕ ВОПРОСА НЕОБХОДИМОСТИ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИИ, ОСУЩЕСТВЛЯЮЩЕЙ МЕДИЦИНСКУЮ ДЕЯТЕЛЬНОСТЬ 32
2.1 Изучение деятельности и организационной структуры организации,
осуществляющей медицинскую деятельность 32
2.2 Анализ технической архитектуры организации, осуществляющей
медицинскую деятельность 34
2.3 Анализ программной архитектуры и данных, обрабатываемых медицинской
организацией 36
2.4 Анализ обрабатываемых в медицинской организации данных 38
2.5 Выводы по разделу 2 42
3. КАТЕГОРИРОВАНИЕ ОБЪЕКТА КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ ОРГАНИЗАЦИИ, ОСУЩЕСТВЛЯЮЩЕЙ МЕДИЦИНСКУЮ ДЕЯТЕЛЬНОСТЬ 44
3.1 Выявление критических процессов и определение объектов критической
информационной инфраструктуры организации, осуществляющей
медицинскую деятельность 44
3.2 Оценка факторов активности потенциального злоумышленника в контексте
информационной безопасности организации, осуществляющей медицинскую деятельность 47
3.3 Анализ уязвимостей и угроз безопасности организации, осуществляющей
медицинскую деятельность 51
3.4 Разработка модели актуальных угроз безопасности объектов критической инфраструктуры организации, осуществляющей медицинскую деятельность . 57
3.5 Определение категории выявленных объектов критической
информационной инфраструктуры организации, осуществляющей медицинскую деятельность 58
3.6 Выводы по разделу 3 61
4. СОВЕРШЕНСТВОВАНИЕ КОМПЛЕКСНОЙ СИСТЕМЫ ОБЕСПЕЧЕНИЯИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИИ,
ОСУЩЕСТВЛЯЮЩЕЙ МЕДИЦИНСКУЮ ДЕЯТЕЛЬНОСТЬ 63
4.1 Определение оптимального комплекса организационных мер и методов
обеспечения информационной безопасности 69
4.2 Определение оптимального комплекса программно-аппаратных мер и методов обеспечения информационной безопасности в части технической и
физической защиты 71
4.3 Разработка мер защиты информации в целях нейтрализации выявленных
актуальных угроз 78
4.4 Выводы по разделу 4 80
ЗАКЛЮЧЕНИЕ 82
СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ 84
Приложение А Порядок выявления и присвоения категорий объектам критической информационной инфраструктуры 90
Приложение Б Схема первого этажа медицинской организации 91
Приложение В Топология локальной сети первого этажа медицинской организации 93
Приложение Г Оценка актуальности угроз выявленных объектов критической информационной инфраструктуры организации 95
Приложение Д Оценка значимости объектов критической информационной инфраструктуры организации 98
Купить

Актуальность исследования. Совершенствование информационных технологий и непрерывность процесса информатизации является характерной особенностью развития современного общества. Интеграция IT-технологий во все сферы жизнедеятельности людей привела к необходимости создания информационной инфраструктуры, способной обеспечить сохранность и безопасность конфиденциальных данных. Учитывая повсеместное внедрение передовых технологий в разные отрасли общества, возникают проблемы информационной безопасности (ИБ) организаций, которые с каждым годом становятся все более сложными и разноплановыми [21,33].
Не стала исключением и сфера оказания медицинских услуг. В данной области остро стоит вопрос информационной безопасности. В результате интеграции высокотехнологичного оборудования и информационных систем (ИС) во все области и организации здравоохранения в связи с расширением спектра предоставляемых медицинских услуг, проблема защиты информации приобрела особую актуальность и значимость, вызвав необходимость разработки и внедрения инновационных решений по части обеспечения информационной безопасности медицинских учреждений [25, 34, 31].
Масштабность и неоднородность информационных структур предприятий медицины и здравоохранения приводит к высокой уязвимости информационных систем медицинских учреждений. Менее защищенными оказываются целые структуры, а не отдельно взятые узлы, что связано с повышением сложности инструментов и средств программно-аппаратного обеспечения компаний, а также с определенными недостатками самих информационных технологий [15].
Действующие нормы Федеральных законов и других руководящих документов требуют обеспечения комплексной информационной защиты медицинских учреждений как объектов информатизации, что является актуальной проблемой на сегодняшний день. Главной целью внедрения комплексного подхода в области информационной защищенности учреждений здравоохранения выступает обеспечение доступности и высокой степени безопасности обрабатываемых данных и защиты информации, используемой в рамках предусмотренных законодательством мер, от несанкционированного вмешательства третьих лиц [16].
Отсутствие эффективной защиты, разработанной на основе комплексного подхода к обеспечению информационной безопасности, ведет к возникновению обширного количества угроз, связанных с хищением или уничтожением персональных данных (ПД) - ключевой информации о сотрудниках и пациентах медицинских организаций, а также нарушает штатный порядок работы учреждения. В некоторых ситуациях сбои в функционировании информационных систем оборачиваются значительными финансовыми потерями, а в отдельных случаях могут стать причиной нанесения вреда жизни и здоровью людей. Например, некорректная работа диагностического оборудования приводит к получению недостоверных результатов анализов, а сбои в медицинской аппаратуре несут опасность для жизни и здоровья пациентов. Исходя из этого можно заключить, что проведение исследований в сфере повышения защиты информационной структуры медицинских организаций необходимы как для обеспечения безопасности ИС субъектов здравоохранения, так и для пациентов, получающих любой вид медицинской помощи, включая консультативную [27, 28].
Степень проработанности темы
В настоящее время активно ведется исследование вопроса защиты информации и изучение защищенности информационной инфраструктуры медицинских учреждений в контексте реализации различного вида атак. Однако вопросу обеспечения комплексной информационной безопасности организаций, осуществляющих медицинскую деятельность, в контексте изучения критических информационных инфраструктур (КИИ) почти не посвящено научных работ ввиду недавнего утверждения в 2018 году федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [3].
Представляется необходимым изучить проблему повышения надежности информационных систем медицинской сферы, найти способы обеспечения безопасного функционирования информационной структуры и свести к минимуму риск внешних и внутренних угроз. С этой целью необходимо внедрить механизм повышения защищенности ИС путем разработки и реализации мероприятий, направленных на обеспечение комплексной информационной защиты учреждений [23].
Исходя из этого, проблематика исследования заключается в надобности увеличения уровня защищенности информации в медицинских учреждениях за счет обеспечения комплексной информационной безопасности в условиях непрерывного роста числа угроз, способов их реализации, а также требований федеральных законов и других нормативных документов в отношении обработки данных на субъектах критической информационной инфраструктуры.
Отталкиваясь от актуальности и установленной проблемы можно прийти к выводу о необходимости проведения исследовательских работ в направлении обеспечения комплексной информационной безопасности в организациях, осуществляющих медицинскую деятельность.
Объектом исследования является информационная инфраструктура организации, осуществляющей медицинскую деятельность.
Предметом исследования являются методы совершенствования системы информационной безопасности организации, осуществляющей медицинскую деятельность.
Цель работы заключается в повышении уровня безопасности информационных систем организации посредством совершенствования комплексной системы защиты медицинского учреждения. Для достижения обозначенной цели подразумевается решить последующие задачи:
1. Исследовать теоретические аспекты вопроса обеспечения информационной безопасности критических информационных инфраструктур посредством анализа существующих подходов и принципов.
2. Провести анализ методов обеспечения информационной безопасности критической информационной инфраструктуры.
3. Провести анализ деятельности и исследовать текущий уровень информационной безопасности систем организации, осуществляющей медицинскую деятельность.
4. Провести анализ уязвимостей и угроз информационной безопасности объектов критической информационной инфраструктуры организации, осуществляющей медицинскую деятельность.
5. Разработать модели нарушителя и актуальных угроз безопасности объектов критической информационной инфраструктуры организации, осуществляющей медицинскую деятельность.
6. Категорировать существующие объекты критической информационной инфраструктуры организации, осуществляющей медицинскую деятельность.
7. Усовершенствовать существующую систему защиты организации, осуществляющей медицинскую деятельность, за счет подбора оптимального комплекса мер и использования методов информационной безопасности в части соответствия ФЗ № 187.
В этой работе выдвигается следующая гипотеза: внедрение современных подходов и адаптация существующих методов обеспечения комплексной информационной безопасности является необходимым условием для обеспечения достаточной степени защищенности информационной инфраструктуры организации, осуществляющей медицинскую деятельность.
Теоретическую основу исследования составили труды отечественных и зарубежных ученых, монографии, материалы, периодических научных изданий, диссертаций научно-практических конференций по исследуемой проблематике.
В частности, существенную роль при написании работы сыграли труды таких авторов, как Михалевич И.Ф., Фролов Я.О., Сидоренко В.Л., Азаров С.И., Власенко Е.А., Бойченко О. В., Аношкина А. А., посвященные разным аспектам обеспечения безопасности критически важных объектов информационных инфраструктур [16, 22, 23, 29, 30, 32].
Методологической основой исследования является совокупность методов научного познания, используемых для достижения поставленной цели:
1. Изучение и анализ научной литературы.
2. Системный анализ и моделирование.
3. Методы индукции и дедукции.
Научная новизна работы заключается в том, что исследование вопроса обеспечения комплексной информационной безопасности в организации, осуществляющей медицинскую деятельность, реализуется в контексте обеспечения безопасности критических информационных инфраструктур.
Теоретическая значимость заключается в возможности применения полученных результатов в исследованиях и работах, посвященных различным аспектам обеспечения безопасности объектов критической информационной инфраструктуры.
Практическая значимость исследования состоит в возможности последующего применения полученных результатов работы коммерческими медицинскими компаниями для разработки и внедрения эффективных комплексных мер по защите информации, спроектированных с учетом положений и требований Федеральных законов и прочих нормативно-правовых документов в области обработки данных субъектов информационных инфраструктур с высокой уязвимостью (критических объектов медицинской сферы).
Этапы исследования:
1. Изучение теоретических аспектов вопроса обеспечения безопасности критических информационных инфраструктур.
2. Освещение деятельности организации, осуществляющей
медицинскую деятельность.
3. Разработка моделей нарушителя и актуальных угроз безопасности для информационных систем организации, осуществляющей медицинскую деятельность.
4. Выработка рекомендаций по разработке комплексной системы обеспечения информационной безопасности.
На защиту выносятся:
1. Модель актуальных угроз информационной безопасности информационных систем ООО «Семейная поликлиника».
2. Модели нарушителя и актуальных угроз безопасности объектов критической информационной инфраструктуры ООО «Семейная поликлиника».
3. Проект совершенствования комплексной системы информационной безопасности ООО «Семейная поликлиника» за счет подбора оптимального комплекса мер и использования методов информационной безопасности в части соответствия ФЗ № 187.
Объем и структура диссертации - 87 страницы, которые включают текст, 2 схемы, 11 таблиц, 17 изображений. Диссертация состоит из введения, четырех разделов и заключения.
Первый раздел посвящен освещению теоретических аспектов вопроса обеспечения безопасности критических информационных инфраструктур. Второй раздел посвящен освещению деятельности организации, осуществляющей медицинскую деятельность, с конкретизацией помещений и обрабатываемых данных в этих помещениях и информационных системах организации.
В третьем разделе содержится информация о разработке моделей нарушителя и актуальных угроз безопасности для информационных систем организации, осуществляющей медицинскую деятельность, а также об определение категории выявленных объектов критической информационной инфраструктуры.
Четвертый раздел содержит рекомендации по разработке комплексной системы обеспечения информационной безопасности в целях повышения уровня информационной защиты объектов информационной инфраструктуры организации, осуществляющей медицинскую деятельность.

Купить