Тема: РАЗРАБОТКА СИСТЕМЫ АВТОМАТИЗАЦИИ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ И ЗАЩИТЫ ИНФОРМАЦИИ

Что такое информация? Информацией являются сведения об объектах и явлениях окружающей среды, их параметрах, свойствах и состоянии, которые воспринимают информационные системы в процессе жизнедеятельности и работы.
Информационная среда уже давно стала неотъемлемой частью нашей повседневной жизни, каждый день мы так или иначе имеем дело со средствами сбора, обработки, хранения и распространения информации.
По этой причине на современном «цифровом» этапе развития общества, защита информации как никогда актуальна. Зачастую, злоумышленникам нужны сведения, которые хранятся в базах данных крупных организаций. Всё чаще и чаще в средствах массой информации публикуются статьи, на тему популярных видах махинаций, связанных с рассылкой сообщений на мобильный телефон и электронную почту. А ведь получив доступ к БД с данными о пользователях, преступники могут шантажировать любого человека, его близких, или же испортить ему репутацию, выложив конфиденциальную информацию.
Защищенность персональных данных актуальна в России, поскольку Федеральные Законы, касающиеся этой области, существуют не так давно. По этой причине, нередко люди, ответственные за обработку персональных данных не знаю самых очевидных правил безопасности, доверенных им сведений. В связи с этим, на специалистов по информационной безопасности ложиться не только ответственность за безопасность информационной системы в организации, но и система обучения персонала этой фирмы.
Персональными данными являются такие сведения о человеке, как фамилия, имя, отчество, число, месяц, год и место рождения, адрес жительства, семейное и социальное положение, образование, имущество, вид профессии, уровень доходов и многое другое, то есть такие сведения относятся к информации ограниченного доступа и должны быть защищены в соответствии с законодательством Российской Федерации.
В случае не соблюдения положений, организация может быть привлечена к судебному разбирательству (вплоть до приостановления действий, аннулирования соответствующих лицензий), а виновные люди - к гражданской, уголовной, административной, дисциплинарной ответственности.
Безопасность персональных данных - состояние защищенности персональных данных, которое характеризуется способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.
Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации, а также используемые в информационной системе информационные технологии. Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.

Купить

Пожалуй самым актуальным на сегодняшний день вопросом в области защиты информации в Российской Федерации является защита персональных данных в соответствии с законами Российской Федерации и вероятными угрозами безопасности информационных систем персональных данных.
Особенно актуальна проблема, связанная с обеспечением безопасности персональных данных в государственных организациях и просто, информационных системах, которых можно назвать крупными, по количеству обрабатываемых персональных данных и единицам аппаратных средств и систем.
Отличительной чертой автоматизированной информационной системы персональных данных является метод передачи информации. Информация передаётся по неконтролируемому каналу, который представляет собой связи общего пользования или глобальную сеть интернет.
В большинстве случаев обработке подвергаются персональные данные второй категории, т.е. имя, фамилия, год, месяц, дата и место, где родился, образование и т.д.
Автоматизированная информационная система персональных данных всегда является специальной, так как для неё кроме обеспечения конфиденциальности необходимо так же обеспечить целостность и доступность.
Опираясь на модель угроз, информационная система персональных данных характеризуется низким уровнем исходной защищённости и радом угроз, имеющих высокую вероятность реализации.
К средствам криптографической защиты в рамках системы защиты персональных данных должны предъявляться требования по сертификации Федеральной службы по техническому и экспортному контролю и Федеральной службы безопасности Российской Федерации не ниже класс КС2.
Специалист по защите информации в ходе экспертной оценке присваивает определённый класс специальной информационной системы персональных данных. Информационной системе персональных данных присваивается класс К2, так как в случае нарушения характеристики безопасности персональных данных, субъекты персональных данных пострадают не значительно.
Для того чтобы свести к нулю вероятности угроз на протяжении всего жизненного цикла информационной системы персональных данных, реализуется следующий комплекс мер и средств защиты:
- проведение тестов, наглядно показывающих эффективность системы защиты персональных данных;
- организационных и организационно-технических;
- инженерных и инженерно-технических;
- технических;
- программных, аппаратных и программно-аппаратных.
Разрабатываемая система защиты персональных данных согласно анализу должна состоять из следующих подсистем:
- подсистема защиты от несанкционированного доступа или случайного доступа;
- подсистема антивирусной защиты;
- подсистема межсетевого экранирования;
- подсистема криптографической защиты;
- подсистема обнаружения вторжений;
- подсистема анализа защищенности.
Согласно факторному анализу имеющихся сегодня на рынке средств защиты, которые можно использовать в рамках системы защиты персональных данных, наилучшие показатели у следующих:
- ПО Symantec Endpoint Protection - СУСН, ПМЭ, САВЗ;
- ПО eToken Network Logon, применяемый совместно с идентификаторами eToken PRO (Java)/72K/CERT-1883 - средство обеспечения усиленной аутентификации;
- Cisco ASA 5500 Series - программно-аппаратные межсетевые экраны;
- S-Terra CSP VPN - программные и программно-аппаратные средства криптографической защиты;
- IBM Proventia IPS - программно-аппаратная система, исключающая вторжения;
- MaxPatrol - программное средство обнаружения вторжений.
Перечисленные средства защиты обладают необходимыми сертификатами Федеральной службы безопасности и Федеральной службы по техническому и экспортному контролю Российской Федерации и образуют в совокупности комплексную систему защиты персональных данных, осуществляющую соблюдение всех требований законов, а так же требований, выявленных на основе модели угроз и нарушителя информационная система персональных данных. Разработанная на основе такого решения система защиты персональных данных имеет наиболее лучшие технико-экономические показатели эффективности.
Главные функции «eToken Network Logon» - надёжное хранение открытых и закрытых ключей в памяти идентификатора eToken PRO, идентификация и двухфакторная аутентификация пользователей информационной системы персональных данных при входе/выходе в операционную систему или программу, блокировка рабочей зоны и принудительный выход пользователя при изъятии аппаратного идентификатора пользователя.
Решение «Symantec Endpoint Protection» включает в себя следующие элементы:
- «Symantec Endpoint Protection Client» - САВЗ, СУСН, ПМЭ;
- «Symantec Endpoint Protection Manage» - сервер управления;
- «Symantec Endpoint Protection Manager Console» - консоль управления.
САВЗ «Symantec Endpoint Protection Client» обеспечивает антивирусную защиту автоматизированных рабочих мест и серверов на базе Microsoft Windows.
СУСН «Symantec Endpoint Protection Client» позволяется управлять подключением периферийных устройств, а также режимами их функционирования.
ПМЭ «Symantec Endpoint Protection Client» представляет собой персональный межсетевой экран, обеспечивающий персональную защиту автоматизированных рабочих мест и серверов на базе Microsoft Windows.
Для межсетевого экранирования требуется разделение всех узлов информационной системы персональных данных и системы защиты персональных данных на защищенные зоны, обеспечивающихся организацией виртуальных локальных сетей, запрет взаимодействия узлов защищенных зон в обход средств межсетевого экранирования Cisco ASA 5500 Series.
Cisco ASA 5500 Series должен выполнять:
- маршрутизацию сетевого трафика между защищаемыми зонами;
- подвергать фильтрации трафик между зонами на основе параметров протоколов 3-4 уровня модели OSI;
- регистрацию и учет фильтруемых пакетов. В параметры регистрации включаются адрес, время и результат фильтрации.
Подсистема криптографической защиты, в составе «S-terra CSP VPN Gate» и «CSP VPN Client» реализует зашифровку конфиденциальных данных и её передачу по неконтролируемым каналам, управления криптографическими ключами.
Средство обнаружения вторжений «IBM Proventia Prevention Appliance» реализует обнаружение трафика известной сетевой атаки, аномальной или запрещенной политикой безопасности сетевой активности.
Средство анализа защиты «MaxPatrol» показывает слабые места программно-аппаратного обеспечения информационной системы персональных данных и системы защиты персональных данных, а так же проводит тестирование эффективности работы системы защиты персональных данных.
В совокупности, средства защиты составляют комплексную систему защиты персональных данных для информационной системы.

Купить