Автоматизация процесса построения модели угроз безопасности информации
ВВЕДЕНИЕ
Процессы обеспечения информационной безопасности являются неотъемлемой частью современной инфраструктуры любой организации. Повсеместное применение средств автоматизации при обработке информации способствует не только сокращению финансовых издержек и повышению эффективности производственных процессов, но и неминуемо влечет за собой расширение спектра угроз безопасности информации, способных нанести существенный ущерб. В рамках стандартного процесса обеспечения своей деятельности, большинство организаций сталкивается с необходимостью обработки информации о клиентах и/или о своих сотрудниках. В соответствии с требованиями действующего законодательства Российской Федерации в области информационной безопасности, вопросы, связанные с обеспечением достаточных мер и механизмов защиты персональных данных, возлагаются на операторов персональных данных. Для того, чтобы адекватно противостоять возникающим угрозам информационной безопасности, в условиях постоянно меняющихся условий её обработки, операторы персональных данных вынуждены проектировать, создавать, поддерживать и модернизировать комплексные системы защиты информации, однако в условиях постоянной изменчивости и совершенствования способов реализации угроз реализация эффективной системы защиты информации просто немыслима без построения и регулярного пересмотра модели угроз безопасности информации. Разработка модели угроз является сложным, трудоёмким процессом, который требует не только высокого уровня подготовки специалистов, но и существенных материальных затрат. При этом деятельность большинства организаций напрямую не связана с защитой информации, а, следовательно, порождает невозможность или неспособность привлечения высококвалифицированных специалистов по информационной безопасности на постоянной основе для разработки и проектирования СЗИ на основе качественной модели угроз. Модель угроз является неотъемлемой частью и фундаментом для построения любой системы защиты информации, а её самостоятельная разработка со стороны организации формирует проблему.
СОДЕРЖАНИЕ
Определения 5
Сокращения 7
Введение 8
1. Модель угроз безопасности 11
1.1. Роль модели угроз в современных системах защиты информации 11
1.2. Проблемы и особенности построения модели угроз 12
1.3. Основные этапы процесса построения модели угроз 13
Вывод 16
2. Процесс построения модели угроз безопасности 17
2.1. Сбор данных по объекту информатизации 17
2.2. Определение объектов воздействия и негативных последствий от реализации угроз 19
2.3. Построение модели нарушителя и оценка способов реализации угроз 21
2.4. Оценка актуальности угроз безопасности информации 26
Вывод 29
3. Разработка автоматизированной системы построения модели угроз безопасности информации 30
3.1. Используемые технологии и архитектура данных 30
3.2. Программная реализация 36
3.3. Тестирование и оценка эффективности 43
Вывод 45
4. Оценка экономической эффективности инновационного проекта 46
4.1. Расчет затрат на выполнение и внедрение проекта, расчет цены проекта 46
4.2. Оценка показателей экономической эффективности инновационного предложения с позиций потенциального инвестора 49
4.3. Оценка коммерческой целесообразности выполнения проекта и выбор лучшего с экономической точки зрения варианта 52
Вывод 55
Заключение 56
Не найдено
Существует множество государственных организаций, использующих различные системы для хранения и обработки информации о своих сотрудниках и/или клиентах. Такая информация является персональными данными. Согласно статье 19 Федерального закона «О персональных данных», оператор при обработке этих данных обязан принимать необходимые меры по обеспечению их безопасности. Персональные данные должны быть защищены от неправомерного или случайного доступа к ним, от уничтожения, изменения, блокирования, копирования, а также от иных неправомерных действий. Для защиты персональных данных необходимо планировать и проводить эффективные мероприятия, направленные на защиту информации. В основу этих мероприятий ложатся выявление и учет угроз безопасности. Для этого можно использовать готовые банки данных угроз, формируемые специализированными государственными службами, однако защита информации от всех существующих угроз будет нецелесообразной. Перечень угроз в банках данных будет избыточным для конкретной информационной системы, так как не все угрозы будут для неё применимы.