ВВЕДЕНИЕ 4
ГЛАВА 1. ОПИСАНИЕ ИНФОРМАЦИОННОЙ СИСТЕМЫ ПЕРСОНАЛЬНЫХ ДАННЫХ 6
1.1 Особенности распределённой информационной системы 6
1.2 Особенности с точки зрения защиты персональных данных при их обработке 6
1.3 Особенности объекта исследования 13
1.4. Модель угроз 15
1.4.1 Модель угроз безопасности персональных данных, обрабатываемых в распределенных информационных системах персональных данных 15
1.4.2 Модель нарушителя 29
1.4.3 Морфологический анализ 34
1.5 Выбор и обоснование методологии решения задачи 36
1.5.1 Анализ существующих мер по предотвращению рисков ИБ в ИСДн 36
1.5.2 Методы решения 42
ГЛАВА 2. ПРАВКТИЧЕСКАЯ РЕАЛИЗАЦИЯ МЕТОДОВ УПРАВЛЕНИЯ РИСКАМИ 45
2.1 Определение наиболее вероятных угроз для выбранной организации 45
2.1.1 Атака SQL-инъекция 45
2.1.2 Атака сканирование сети 48
2.2 Определение векторов атаки 49
2.3 Подготовка среды исследования 49
2.4 Реализация исследования 52
ГЛАВА 3. РАСЧЁТЫ И АНАЛИЗ РЕЗУЛЬАТОВ 59
3.1 Сбор информации для анализа 59
3.2 Расчёт результатов 63
3.3 Анализ полученных результатов 67
Заключение 68
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 70
В наши дни достаточно распространены распределенные информационные системы, топология которых сильно развита. Разные части системы выполняют различные задачи. Из-за большого количества узлов и связей в таких системах, а также данных, которые они обрабатывают, возникает большое количество рисков информационной безопасности.
Актуальность темы дипломной работы определяется высоким уровнем рисков компрометации, краже, продаже и распространения информации, составляющей персональные данные, даже в условиях стремительного роста технологий и инструментальной базы для защиты информации. Невозможно обеспечить стопроцентный уровень защиты распределённых информационных систем, при этом корректно расставляя приоритеты в задачах по защите данных. Надежная защита вычислительной и сетевой инфраструктуры является базовой задачей в области информационной безопасности для любой организации работающей с данными ограниченными для общего доступа.
В настоящее время компании малого и среднего бизнеса, а также государственные организации обязаны в соответствии с действующим законодательством организовывать защиту персональных данных населения. Защита персональных данных обеспечивается различными методами и средствами, обеспечивающими безопасность, целостность и конфиденциальность данных.
Документ, регламентирующий средства защиты персональных данных был разработанный ФСТЭК и утверждён в 2013 году, в данной работе будет рассмотрены приведенные в нём требования на предмет актуальности на сегодняшний день.
В нашей стране утверждены различные законы и приказы описывающие требования к информационной безопасности персональных данных, так же есть различные методы и способы защиты информации.
Предметом исследования в дипломной работе является распределенная информационная система, одной из задач которой является обработка персональных данных.
Целью дипломной работы является: снижение рисков информационной безопасности в распределённых информационных системах.
Задачи поставленные для достижения цели:
- Описать особенности организации с точки зрения информационной безопасности
- Проанализировать текущие методы предотвращения рисков информационной безопасности в информационных системах
- Подготовить стенд для моделирования угроз на рассматриваемую систему
- Смоделировать поведение системы, при воздействии выбранных атак
- Опросить экспертов в сфере информационной безопасности для получения статистических данных
- Произвести расчёты и анализ полученных результатов
- Проверка предлагаемых методиками средств защиты
В дипломной работе была рассмотрена распределенная информационная система на примере компании «СофтИнформ», в перечень деятельности которой входит обработка персональных данных.
В результате работы был проведен анализ методических документов и существующих работ по предотвращению рисков, а также описание системы, в том числе и с точки зрения защиты информации. Построены модели угроз и нарушителей, согласно регламентирующим документам регулирующих органов.
Были определены наиболее вероятные угрозы для выбранной организации и определены вектора атак для этих угроз. Затем был подготовлен стенд, для моделирования атак и анализ поведения системы в результате этих атак. В ходе следования требованиям методики за 2013 год.
На следующем этапе был проведён сбор информации у экспертов по информационной безопасности и проведен расчёт рисков для рассматриваемой системы. Затем все результаты проанализированы.
В результате цель работы, а именно - снизить риски информационной безопасности распределенной информационной системы, была достигнута.
Поставленные в начале работы задачи, для достижения цели, а именно:
Задачи поставленные для достижения цели:
- Описать особенности организации с точки зрения информационной безопасности
- Проанализировать текущие методы предотвращения рисков информационной безопасности в информационных системах
- Подготовить стенд для моделирования угроз на рассматриваемую систему
- Смоделировать поведение системы, при воздействии выбранных атак
- Опросить экспертов в сфере информационной безопасности для получения статистических данных
- Произвести расчёты и анализ полученных результатов
- Проверка предлагаемых методиками средств защиты
Были успешно выполнены.
