Разработка методики аудита информационной безопасности для проведения подготовительных работ в области КИИ АСУ ТП
Оценка защищенности является важным этапом в процессе создания системы защиты информации и оценке существующей. Защищенность информационной системы в большинстве случаев сводится к оценке степени невыполнения требований какого-либо стандарта и формированию рекомендаций по увеличению уровня защиты на основе полученных данных. Еще один способ оценки заключается в проведении комплекса автоматизированных тестов по выявлению уязвимых мест информационной системы. Все эти методы дают оценку параметрам защищенности, поэтому их можно определить в один класс качественных методик оценки защищенности. Подход к оценке защищенности систем для объектов КИИ аналогичен подходу, описанному выше.
Содержание
Содержание
Введение
Проблемы аудита информационной безопасности АСУ ТП
Подготовительные работы перед категорированием ОКИИ АСУ ТП
1 Определение принадлежности организации к субъектам КИИ
2 Создание комиссии по категорированию
3 Проведение аудита информационной безопасности
3.1 Подготовка к предпроектному обследованию
3.2 Идентификация информационных ресурсов
3.3 Проведение обследования
3.4 Сбор и анализ исходный данных
Формирование объектов КИИ. Определение систем и процессов, оценка их критичности
1 Определение систем предположительно, являющихся объектами КИИ
2 Определение процессов и оценка их критичности
3 Формирование объектов КИИ и согласование со ФСТЭК России
Заключение
Список использованных источников
Список использованных источников
1 ГОСТ 34.003-90 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения.
2 Астахов А. Введение в аудит информационной безопасности // Global-Trust Solutions. – 2018. – URL: http://globaltrust.ru (дата обращения: 29.11.2022).
3 Хватов Д. А., Ковтун А. И., Подтопельный В. В. Проблемы аудита информационной безопасности АСУ ТП / Вестник Балтийского федерального университета им. И. Канта. Сер.: Физико-математические и технические науки. – 2019. – № 4. – С. 67–75.
4 Федеральный закон от 26.07.2017 №187-ФЗ «О безопасности критической информационной инфраструктуре Российской Федерации».
5Постановление Правительства от 8 февраля 2018 №127 «Об утверждении правил категорирования объектов информационной инфраструктура Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений».
6 Приказ от 14 марта 2014 г. № 31 «Об утверждении требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды».
7 Подтопельный, В. В. Особенности аудита информационной безопасности АСУ ТП // V международный Балтийский морской форум, –2017. – С. 513–518.
8 Ветров, И.А., Подтопельный, В.В. Особенности подготовки активного аудита информационной безопасности АСУ ТП // Вестник Балтийского федерального университета им. И. Канта. Серия: Физико-математические и технические науки. – 2021. – № 1. – С 5–11.
9 Мезин, С.В. Современные подходы к аудиту информационной безопасности АСУ ТП // Современные проблемы теплофизики и энергетики. – 2020. – С. 604–605.
Поставленные задачи решаются с помощью исследования технических систем с целью определениях их надежности, а также организационной составляющей.Для решения задач аудита необходимо учитывать специфику архитектуры АСУ ТП: объединенные системы и подсистемы. При этом они могут быть созданы на основе разных технологий. Поэтому, в зависимости от свойств исследуемых подсистем, необходимо применять соответствующие методы решения задач аудита на разных уровнях (уровень технических систем, систем управления, организации и бизнес-процессов). Также нужно учитывать, что часть системы может работать в режиме реального времени и совмещаться с виртуализированной обработкой данных.Таким образом, аудитор сталкивается с первым затруднением – создание модели аудита, которая при реализации процедур проверки учитывает технологические различия всех подсистем единого комплекса. Чтобы сформировать модель аудита потребуется отдельно создать описания объектов, определить актуальные угрозы и процессы аудита для каждого объекта. Подходы к проведению аудита могут различаться в разных сегментах системы предприятия (уровень планирования и управления производством; и сегменты АСУ ТП), поэтому допускается формирование нескольких моделей аудита.