Тема: АУДИТ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ИНФОРМАЦИОННОЙ СИСТЕМЫ ВЫСШЕГО УЧЕБНОГО ЗАВЕДЕНИЯ

Высшее учебное заведение (далее - вуз), как и любая организация в настоящее время, нуждается в обеспечении информационной безопасности. Отличительной особенностью в процессе защиты информации является то, что вуз - это открытая организация с постоянно меняющейся аудиторией. Это предполагает возможность появления угроз информационной безопасности и нанесения ущерба всем участникам образовательного процесса.
Для того чтобы оценить уровень защищенности информационных ресурсов и активов, организация должна регулярно проводить аудит информационной безопасности. Это позволит не только выявить уязвимости, но и определить актуальные угрозы, а также составить рекомендации по их предотвращению.
А потому проведение аудита информационной безопасности в вузе является актуальной задачей, решение которой позволит обеспечить информационную защищенность всем участникам образовательного процесса.
Целью данной работы является проведение в вузе внутреннего активного аудита информационной безопасности и аудита информационной безопасности на соответствие стандартам.
Поставленная цель потребовала решения следующих задач:
1) обследование информационной системы вуза;
2) составление модели нарушителя;
3) построение модели угроз;
4) исследование текущего состояния информационной безопасности вуза;
5) выявление уязвимостей информационной системы вуза;
6) составление рекомендаций по устранению уязвимостей и предотвращению актуальных угроз.
Купить

В результате выполнения данной работы были проведены следующие виды аудита информационной безопасности информационной системы вуза:
- активный аудит информационной безопасности;
- аудит информационной безопасности на соответствие Приказам №17 и №21 ФСТЭК России.
В процессе проведения аудита информационной безопасности были выполнены следующие задачи:
1) инструментальными методами, а также методами анкетирования, устного опроса, визуального осмотра и анализа внутренней документации обследована информационная система вуза, на основе чего описано текущее состояние информационной безопасности;
2) построена модель нарушителя, в результате чего выявлены 8 типов потенциальных нарушителей, возможности их сговора, а также предположительно известные каждому типу нарушителя сведения об информационной системе вуза. Проанализированы возможные цели, объекты, средства и каналы реализации угроз информационной безопасности;
3) с использованием модели нарушителя составлена модель угроз, которая содержит в себе описание 30-ти угроз информационной безопасности, включающее в себя наименование угрозы, возможных нарушителей, предпосылки реализации угрозы, реализованные в вузе защитные меры и определение актуальности угрозы:
- установлено, что для информационной системы вуза 23 угрозы из 30-ти являются актуальными;
- для всех актуальных угроз составлены рекомендации по их предотвращению;
4) на основе исследования текущего состояния информационной безопасности информационной системы вуза были выявлены уязвимости различного характера.
Активный аудит информационной безопасности позволил выявить:
- 4 уязвимости в обеспечении физической безопасности информационной системы;
- 3 уязвимости в аппаратном обеспечении информационной системы;
- 3 уязвимости в сетевом обеспечении информационной системы;
- 52 уязвимости в программном обеспечении информационной системы;
- 9 уязвимостей в организационном обеспечении информационной системы;
- 3 уязвимости в нормативном обеспечении информационной системы.
Аудит информационной безопасности на соответствие Приказу №17 ФСТЭК России позволил получить следующие результаты:
- 29% требований по защите информации выполняются полностью;
- 17% требований выполняются частично;
- 29% требований не выполняются;
- выполнение 25% требований не выявлено ввиду отсутствия необходимых сведений.
Аудит информационной безопасности на соответствие Приказу №21 ФСТЭК России позволил получить следующие результаты:
- 32% требований по защите информации выполняются полностью;
- 12% требований выполняются частично;
- 33% требований не выполняются;
- выполнение 23% требований не выявлено ввиду отсутствия необходимых сведений;
5) составлены рекомендации по устранению выявленных уязвимостей, включающие в себя меры как программно-технического, так и организационно-нормативного характера, практическая реализация которых повысит уровень защищенности информационной системы вуза.
Таким образом, задачи решены в полном объеме, цель достигнута - был проведен аудит информационной безопасности информационной системы вуза, который позволил получить объективную оценку защищённости информационной системы, обнаружить уязвимости информационной безопасности и составить рекомендации по их устранению и предотвращению актуальных угроз информационной безопасности.

Купить