Аннотация 2
СОКРАЩЕНИЯ И ОПРЕДЕЛЕНИЯ 8
ВВЕДЕНИЕ 9
1. АНАЛИЗ СОСТОЯНИЯ ЗАЩИТЫ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В ОРГАНИЗАЦИИ И СУЩЕСТВУЮЩИЕ ПРОБЛЕМЫ 10
1.1. Разработка технического паспорта системы 10
1.2. Описание технологического процесса 10
1.3. Защищаемая информация 10
1.4. Описание информационной системы 10
1.5. Определение объектов защиты 14
1.6. Разработка модели угроз и уязвимостейдля важных объектов защиты . .. 14
1.7. Расчет рисков важных объектов защиты 22
1.7.1. Определение возможности реализации угрозы 22
1.7.2. Определение показателя опасности угрозы 24
1.7.3. Определение актуальных угроз 24
1.8. Разработка технического задания на модернизацию ИСПДн «Гриф» 28
1.9. Выводы по первой главе 29
2. ТЕОРЕТИЧЕСКОЕ ОБОСНОВАНИЕ ВЫБОРА СРЕДСТВ ЗАЩИТЫ 30
2.1. Обзор возможных методов устранения уязвимостей 30
2.2. Угрозы несанкционированного доступа 30
2.2.2. Несанкционированное копирование информации на внешние
(сменные) носители 31
2.2.3. Подбор аутентификационных данных пользователя 31
2.3. Выводы 32
3. РАЗРАБОТКА ПРОЕКТА МОДЕРНИЗАЦИИ ИНФОРМАЦИОННОЙ
СИСТЕМЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В ОРГАНИЗАЦИИ 33
3.1. Описание объекта 33
3.2. Резюме проекта 33
3.3. Цели и задачи проекта 33
3.4. Объекты поставки проекта 34
3.4.1. Организационно-распорядительная документация 34
3.4.2. Инженерно-технические и программно-аппаратные меры 34
3.4.3. Обучение персонала 34
3.5. Риски проекта 34
3.6. Структура разбиения работ 36
3.7. Структурная схема организации проекта 38
3.8. Матрица ответственности 38
3.9. Диаграмма Ганта и сетевой график 39
3.10. Выводы 40
4. БЕЗОПАСНОСТЬ ЖИЗНЕДЕЯТЕЛЬНОСТИ 41
4.1. Рекомендации по организации рабочего места 41
4.2. Требования к микроклимату в помещениях 43
4.3. Требования к освещению рабочих мест 44
4.4. Требования к уровням шума и вибрации на рабочих местах 45
4.5. Рекомендации по организации режима труда и отдыха сотрудников 46
4.6. Электробезопасность 47
4.7. Пожарная безопасность 47
4.8. Вывод о соответствии гигиеническим нормам помещения и
рабочего места 50
4.9. Выводы по четвертой главе 52
ЗАКЛЮЧЕНИЕ 54
БИБЛИОГРАФИЧЕСКИЙ СПИСОК 56
ПРИЛОЖЕНИЕ А 58
ПРИЛОЖЕНИЕ Б 66
ПРИЛОЖЕНИЕ В 72
ПРИЛОЖЕНИЕ Г 73
ПРИЛОЖЕНИЕ Д 74
ПРИЛОЖЕНИЕ Е 75
ПРИЛОЖЕНИЕ Ж 80
ПРИЛОЖЕНИЕ З 87
ПРИЛОЖЕНИЕ И 94
ПРИЛОЖЕНИЕ К 97
ПРИЛОЖЕНИЕ Л 99
Информационная система персональных данных представляет собой совокупность информации и информационных технологий, обеспечивающих ее обработку. Вследствие быстрого развития и расширения областей информационной сферы, информационная система соответственно изменяется, при этом система защиты должна адаптироваться к изменениям, чтобы отвечать на новые угрозы безопасности персональных данных.
Информационная система персональных данных описанная в работе не является реальной системой ОПФР по Челябинской области.
Информационная система персональных данных «Гриф» создана для работы отдела защиты информации ОПФР по Челябинской области. «Гриф» представляет собой сервер с базой персональных данных работников и клиенты, установленные на ПЭВМ сотрудников отдела защиты информации.
Система позволяет быстро и эффективно предоставлять, отчуждать или приостанавливать права доступа субъектов к другим информационным системам ОПФР. По запросу формирует соответствующие приказы о сотрудниках и актуализирует матрицу доступа организации.
Актуальность данной работы обусловлена наличием в системе уязвимостей, использование которых ведет к нарушению работы других систем ОПФР. Требуется периодическая проверка эффективности системы защиты системы персональных данных, чтобы предотвратить возможные инциденты безопасности в организации.
Объектом выпускной квалификационной работы является Отделение ПФРФ по Челябинской области.
Предметом выпускной квалификационной работы является информационная система персональных данных «Гриф» в Отделении ПФРФ по Челябинской области.
Целью выпускной работы является модернизация информационной системы персональных данных «Гриф» в ОПФР по Челябинской области.
В соответствии с целью требуется решить следующие задачи:
1. Провести анализ текущего состояния защищенности информационной системы персональных данных «Гриф» в ОПФР по Челябинской области;
2. Провести теоретическое обоснование необходимых мер для модернизации системы персональных данных «Гриф» в ОПФР по Челябинской области ;
3. Разработка проекта по модернизации информационной систем персональных данных.
Результатом выполнения выпускной квалификационной является внедрение модернизированной информационной системы персональных данных в Отделении Пенсионного фонда Российской Федерации по Челябинской области, удовлетворяющая требованиям законодательства в области защиты информации и эффективно нейтрализующая угрозы информационной безопасности.
Работа была разделена на 4 этапа:
1. Анализ состояния защиты информации в информационной системе персональных данных в организации и существующие проблемы. ИСПДн «Гриф» обрабатывает иные категории персональных данных сотрудников организации. Система используется сотрудниками отдела защиты информации для централизованного управления правами доступа в информационные системы организации. Был определен уровень защищенности информационной системы - 3 (Приложение Г). Разработан технический паспорт организации (Приложение А), описывающий принцип работы системы, программно-аппаратную и сетевую инфраструктуру организации, расположение контролируемой зоны.
Разработана модель деятельности организации в целях определения потоков информации (Приложение В). На основе вышесказанного разработана модель угроз и уязвимостей и определены актуальные угрозы:
- Несанкционированный доступ к информации с применением стандартных функций операционной системы (уничтожение, копирование, перемещение и т. п.);
- Несанкционированное копирование информации на внешние (сменные) носители;
- Подбор аутентификационных данных пользователя.
Составлено техническое задание на проект модернизации информационной системы (Приложение Е).
2. Теоретическое обоснование выбора средств защиты. На данном этапе были рассмотрены актуальные угрозы и предложены наиболее подходящие методы их нейтрализации. Использованы организационные и программно-аппаратные меры:
- проведены настройки СЗИ от НСД «SecretNet 6» для обеспечения автоматической блокировки экрана во время бездействия;
- проведены настройки СЗИ «Панцирь-К» для разграничения доступа к съемным носителям;
- добавлены требования блокирования экрана в Инструкцию пользователя ИСПДн «Гриф» (Приложение З);
- установлена система двухфакторной аутентификации JaCarta SecurLogon.
3. Разработка проекта модернизации информационной системы персональных данных. На этом этапе были определены и структурированы необходимые работы для реализации угрозы. Для каждого вида работ определены ответственные исполнители и определены сроки выполнения. Выполнение проекта займет 61 день. Для эффективного управления проектом разработаны матрица ответственности, диаграмма Ганта и сетевой график.
4. Безопасность жизнедеятельности. На этом этапе рассмотрены нормы и требования стандартов безопасности жизнедеятельности в части касающееся работы с ПЭВМ. Проведен анализ выполнения требований в организации. Выявлены недостатки организации рабочих мест. Предложены пути решения выявленных недостатков.
