Аттестация информационной системы персональных данных «Бухгалтерия» Общества с ограниченной ответственностью «Завод углеродных и композиционных материалов»
Аннотация 2
ВВЕДЕНИЕ 9
ГЛАВА 1. ОБСЛЕДОВАНИЕ ОБЪЕКТА ИНФОРМАТИЗАЦИИ 10
1.1 Правовые основы проведения аттестации 10
1.2 Анализ технического задания 11
1.3 Разработка программы и методики аттестационных испытаний 12
1.4 Обследование ИСПДн 12
1.4.2 Перечень ПДн, подлежащих защите в ИСПДн 13
1.4.3 Приказ «Об определении границ контролируемой зоны объекта 13
информатизации» 13
1.4.4 Инструкции 14
1.4.5 Журналы учета 15
1.5 Определение уровня защищенности ИСПДн 15
1.6 Вывод по первой главе 17
ГЛАВА 2 РАЗРАБОТКА ТЕХНИЧЕСКОЙ ДОКУМЕНТАЦИИ 18
2.1 Разработка технической документации 18
2.1.1 Матрица доступа пользователей к защищаемым информационным
ресурсам ИСПДн 18
2.1.2 Описание технологического процесса обработки информации в ИСПДн
18
2.1.3 Положение об обработке и защите персональных данных 18
2.2 Классификация угроз безопасности персональных данных 19
2.2.1 Угрозы утечки акустической (речевой) информации 20
2.2.2 Угрозы утечки видовой информации 21
2.2.3 Угрозы утечки информации по каналам побочных электромагнитных
излучений и наводок 21
2.3 Угрозы несанкционированного доступа к информации в информационной
системе персональных данных 22
2.4 Уязвимости информационной системы персональных данных 24
2.4.1 Уязвимости системного программного обеспечения 25
2.4.2 Уязвимости прикладного программного обеспечения 25
2.5 Типовая модель угроз безопасности персональных данных 26
2.6 Разработка частной модели угроз 27
2.7 Меры по обеспечению безопасности персональных данных 30
2.8 Модель потенциального нарушителя 31
2.9 Вывод по второй главе 33
ГЛАВА 3 ЭТАП АТТЕСТАЦИОННЫХ ИСПЫТАНИЙ ОБЪЕКТА 35
ИНФОРМАТИЗАЦИИ 35
3.1 Выбор средств защиты информации 35
3.1.1 Общие положения 35
3.1.2 Выбор средства защиты информации от несанкционированного доступа
35
3.1.3 Выбор средства антивирусной защиты 36
3.1.4 Выбор межсетевого экрана и средства криптографической защиты 36
3.2 Аттестационные испытания 37
3.3 Оценка экономической эффективности проекта 38
3.4 Вывод по третьей главе 41
ГЛАВА 4 БЕЗОПАСНОСТЬ ЖИЗНЕДЕЯТЕЛЬНОСТИ 42
4.1 Общие положения 42
4.2. Требования к помещениям для работы с ПЭВМ 43
4.3. Требования к микроклимату, уровню шума и освещению 45
4.4. Обеспечение пожарной и электробезопасности 46
4.5 Сравнение требуемых параметров к рабочему месту 49
4.6 Выводы по четвертой главе 52
ЗАКЛЮЧЕНИЕ 53
БИБЛИОГРАФИЧЕСКИЙ СПИСОК 54
ПРИЛОЖЕНИЕ А 56
ПРИЛОЖЕНИЕ Б 59
ПРИЛОЖЕНИЕ В 71
ПРИЛОЖЕНИЕ Г 74
ПРИЛОЖЕНИЕ Д 75
ПРИЛОЖЕНИЕ Е 78
ПРИЛОЖЕНИЕ Ж 82
ПРИЛОЖЕНИЕ З 93
ПРИЛОЖЕНИЕ И 101
ПРИЛОЖЕНИЕ К 105
ПРИЛОЖЕНИЕ Л 109
ПРИЛОЖЕНИЕ М 111
ПРИЛОЖЕНИЕ Н 120
ПРИЛОЖЕНИЕ У 142
По законодательству Российской Федерации основным документом по обеспечению защиты персональных данных является федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных», согласно которому любая организация должна защищать информацию о своих сотрудниках и клиентах. В соответствии с требованиями законодательства необходимо разработать комплект организационно-распорядительной документации, соответствующий нормативно-правовым актам РФ в области обеспечения защиты персональных данных и периодически проводить оценку защищенности объектов информатизации по требованиям безопасности информации согласно приказу ФСТЭК России № 21 от 18.02.2013 г. «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
Таким образом, актуальность моей работы обоснована требованием законодательства.
Объектом выпускной квалификационной работы является Общество с ограниченной ответственностью «Завод углеродных и композиционных материалов».
Предметом выпускной квалификационной работы является информационная система персональных данных (ИСПДн) «Бухгалтерия» Общества с ограниченной ответственностью «Завод углеродных и композиционных материалов», аттестацию, которой проводил АО «Гранит Информ».
Целью данной дипломной работы является аттестация по требованиям безопасности информации ИСПДн «Бухгалтерия». Для реализации поставленной цели будем руководствоваться порядком проведения аттестации, утвержденным Положением по аттестации объектов информатизации по требованиям безопасности информации:
- анализ исходных данных по аттестуемому объекту информатизации;
- предварительное ознакомление с объектом информатизации;
- проведение экспертного обследования объекта информатизации и разработка документации по защите информации на этом объекте с точки зрения ее соответствия требованиям нормативной и методической документации;
- проведение испытаний отдельных средств и систем защиты информации на аттестуемом объекте информатизации с помощью специальной контрольной аппаратуры и тестовых средств;
- проведение комплексных аттестационных испытаний объекта информатизации в реальных условиях эксплуатации;
- анализ результатов экспертного обследования и комплексных аттестационных испытаний информатизации и утверждение заключения по результатам аттестации.
В результате выполнения выпускной квалификационной работы было проведено обследование объекта информатизации ИСПДн «Бухгалтерия» ООО «Завод углеродных и композиционных материалов». Данная ИСПДн обрабатывает ПДн сотрудников. В ходе обследования был проведен анализ организационно-распорядительных документов.
В ходе проведения аттестации был установлен уровень защищенности ИСПДн «Бухгалтерия» и разработана техническая документация: частная модель угроз, описание технологического процесса, матрица доступа и др. В соответствии с установленным уровнем защищенности и актуальными угрозами было выявлено, что данная ИСПДн недостаточно защищена от угроз. Поэтому на объект информатизации были дополнительно установлены средства защиты информации, которые выполняют требования к мерам по обеспечению безопасности информации. В связи с этим был разработан технический паспорт и инструкция по эксплуатации средств защиты информации.
В ходе выполнения выпускной квалификационной работы были проведены аттестационные испытания на соответствия требованиям безопасности информации. В результате было принято решение о выдаче аттестата соответствия ИСПДн «Бухгалтерия» ООО «Завод углеродных и композиционных материалов» на право обработки ПДн.
