Danas, sa široko rasprostranjenom dostupnošću interneta i brzim razvojem komunikacija, jaz između očekivanja učenika i onoga što im obrazovne institucije mogu ponuditi postaje vrlo primjetan. Metode rada u obrazovanju moraju se stalno razvijati, prateći društvene promjene i tehnološki razvoj. Istovremeno, nije na posljednjem mjestu zaštita kako edukativnog materijala i drugih informacija ograničenog pristupa, tako i same IT infrastrukture od nasumičnih ili ciljanih napada.

Moderne tehnologije informacione sigurnosti (IS) pomažu obrazovnim institucijama da riješe izazove u sljedećim glavnim oblastima:

Organizacija sigurnog pristupa obrazovnim materijalima i sistemima sa bilo kojeg mjesta u svijetu;

Zaštita informacija s ograničenim pristupom (lični podaci, poslovne tajne, itd.) i zaštita intelektualnog vlasništva;

Usklađenost sa zahtjevima zakonodavstva u oblasti informacione sigurnosti (zaštita ličnih podataka, zaštita prava intelektualne svojine, zaštita djece od negativnih informacija).

Problem #1: Različite grupe korisnika

Moderan univerzitet i njegova mreža je heterogeno okruženje u kojem se sukobljavaju interesi i podaci različitih grupa korisnika. Univerzitetska mreža može sadržavati sljedeće kategorije korisnika sa različitim zahtjevima za informacijsku sigurnost: studenti i studenti na razmjeni; nastavnici i administracija; školarci koji pohađaju pripremne kurseve prije upisa na univerzitet; posjetiteljima plaćenih kurseva i kurseva napredne obuke koje nudi univerzitet u cilju sticanja dodatnih izvora prihoda, kao i predstavnicima organizacija koje pružaju univerzitetu komercijalne narudžbe, na primjer, u oblasti istraživanja i razvoja.

Izazov #2: Transformacija pristupa i koncept bilo kojeg uređaja

Kako se perimetar tradicionalne mreže univerzitetskih kampusa i dalje zamagljuje, a univerzitetsko okruženje postepeno gubi svoje granice, pametni telefoni, tableti, drugi terminalni uređaji i web aplikacije nepovratno mijenjaju obrazovni proces, pružajući mogućnost pristupa obrazovnim materijalima s bilo kojeg mjesta u svijetu. - iz univerzitetske učionice, hostela, stanovanja, kampusa, drugog univerziteta na koji studenti idu radi razmjene iskustava itd. Cisco slijedi koncept bilo kojeg uređaja, koji ima za cilj proširiti slobodu izbora uređaja za korisnike univerzitetskih kampusa uz održavanje zajedničkog i predvidljivog iskustva. Sve to održava ili čak povećava nivo konkurentnosti, produktivnosti i sigurnosti obrazovne ustanove.

Istovremeno, prilikom uvođenja koncepta "bilo koji uređaj" javlja se niz problema IS koje je potrebno riješiti. U ovom slučaju morate obezbijediti:

Sprečavanje neovlaštenog povezivanja mrežnih pretplatničkih uređaja: stacionarnih računara (radne stanice ili radne stanice), laptopa (mobilne radne stanice), mobilnih uređaja (tablet PC računara sa operativnim sistemom Android i iOS), mrežnih štampača i IP telefona na univerzitetsku mrežu;

Usklađenost sa zahtjevima i preporukama aktuelnih politika informacione sigurnosti, kao i mogućnost daljinske kontrole mobilnih uređaja povezanih na univerzitetsku mrežu radi usklađenosti sa važećim politikama informacione sigurnosti;

Pored toga, treba obezbijediti organizaciju logične podjele univerzitetske mreže na sigurnosne zone bez promjene postojeće infrastrukture (postojeća podjela mreže na segmente), kako bi se dodijelile zone za goste i zone ograničenog pristupa za povezivanje pretplatničkih uređaja razne grupe korisnika, kao i korisnici mobilnih uređaja (tablet PC) koji koriste Android i iOS.

Problem broj 3: zaštita informacionih sistema i ograničenih informacija

Moderni univerzitet je skladište raznih informacija koje treba zaštititi. radi se o:

Lični podaci učenika, nastavnika, administracije i drugih kategorija korisnika;

Podaci koji predstavljaju poslovnu tajnu univerziteta i omogućavaju mu da bude ispred drugih univerziteta u oblasti pružanja kvalitetnijih obrazovnih i obrazovnih programa, kao i naprednijih metoda nastave;

Obrazovni materijali koje je izradio univerzitet, a pristup kojima treba biti ograničen ili kontroliran, jer. oni su intelektualno vlasništvo;

Softver ili licence stečene od strane univerziteta, čija krađa može pogoršati položaj obrazovne ustanove u konkurentskoj borbi ili povlačiti krivičnu ili administrativnu odgovornost.

Konačno, rezultati istraživanja i razvoja koje univerzitet može provesti na zahtjev komercijalnih ili državnih kupaca podliježu zaštiti.

Pored zaštite informacija sa ograničenim pristupom, treba osigurati i sigurnost informacionih sistema obrazovnog procesa. Slučajno ili namjerno ometanje ovih sistema može poremetiti proces učenja i narušiti ugovorne uslove (u slučaju plaćene obuke ili implementacije različitih istraživanja i razvoja).

Problem #4: Zakonska ograničenja

Pored zaštite informacionih sistema i informacija koje univerzitetu daju konkurentske prednosti, sistem informacione bezbednosti treba da omogući sprovođenje zakonodavnih inicijativa u cilju zaštite prava i interesa različitih grupa građana i organizacija. Normativni akti koje je univerzitet dužan da poštuje prvenstveno obuhvataju:

Federalni zakon br. 139-FZ od 28. jula 2012. „O izmjenama i dopunama Federalnog zakona „O zaštiti djece od informacija štetnih za njihovo zdravlje i razvoj” i određenih zakonskih akata Ruske Federacije o ograničavanju pristupa nezakonitim informacijama o Internet”;

Federalni zakon od 2. jula 2013. br. 187-FZ "O izmjenama i dopunama zakonskih akata Ruske Federacije o zaštiti intelektualnih prava u informacionim i telekomunikacionim mrežama".

Problem #5: Sve veći broj prijetnji

Okruženje mrežne sigurnosne prijetnje je u stalnoj evoluciji. Vodeće pozicije u njemu zauzimaju posebno napisane, skrivene prijetnje, koje sve više mogu savladati tradicionalne metode i sredstva zaštite. Ove prijetnje prodiru unutar mreže - na nivou jezgre, nivou distribucije i nivou pristupa korisnika, gdje su zaštita od prijetnji i vidljivost na minimalnom nivou. Odatle, ove prijetnje bez problema biraju svoje mete – specifične resurse, pa čak i određene ljude na univerzitetu. Svrha modernih cyber prijetnji nije stjecanje slave i slave, pa čak ni stvaranje profitabilnog botnet-a, već zaplijeniti i ukrasti intelektualno vlasništvo ili poslovne i druge tajne kako bi se ostvarile konkurentske prednosti.

Cisco rješenja za sigurnost informacija

Cisco SecureX Architecture™ je bezbednosna arhitektura nove generacije koja integriše fleksibilna rešenja, proizvode i usluge za kreiranje i sprovođenje doslednih poslovnih politika širom moderne univerzitetske distribuirane mreže. Cisco SecureX arhitektura integriše globalnu inteligenciju o pretnjama i kontekstualnu svest kako bi se suočila sa jedinstvenim bezbednosnim izazovima kao što su porast broja visoko mobilnih korisnika, proširenje mobilnih uređaja sa omogućenom mrežom ili prelazak na infrastrukturu i usluge u oblaku.

Cisco SecureX zadovoljava potrebe današnjih zamućenih mreža pružajući efikasnu sigurnost za svakog korisnika, na bilo kom uređaju, bilo gdje, bilo kada. Ova nova sigurnosna arhitektura koristi jezik politike višeg nivoa koji "razumije" puni kontekst situacije - ko, šta, gdje, kada i kako. Zahvaljujući distribuiranoj implementaciji sigurnosnih politika, proces zaštite se približava radnom mjestu krajnjeg korisnika bilo gdje u svijetu, čime se omogućava ne samo osiguranje svakog uređaja ili korisnika, već i, ako je potrebno, lokalizacija prijetnje kao što bliže svom izvoru.

Rešenja uključena u Cisco SecureX ispunjavaju zahteve ruskih državnih organa ovlašćenih u oblasti informacione bezbednosti i imaju preko 600 različitih FSTEC i FSB bezbednosnih sertifikata.

Danas, sa široko rasprostranjenom dostupnošću interneta i brzim razvojem komunikacija, jaz između očekivanja učenika i onoga što im obrazovne institucije mogu ponuditi postaje vrlo primjetan. Metode rada u obrazovanju moraju se stalno razvijati, prateći društvene promjene i tehnološki razvoj. Istovremeno, nije na posljednjem mjestu zaštita kako edukativnog materijala i drugih informacija ograničenog pristupa, tako i same IT infrastrukture od nasumičnih ili ciljanih napada.

Moderne tehnologije informacione sigurnosti (IS) pomažu obrazovnim institucijama da riješe izazove u sljedećim glavnim oblastima:

Organizacija sigurnog pristupa obrazovnim materijalima i sistemima sa bilo kojeg mjesta u svijetu; zaštita ograničenih informacija (lični podaci, poslovne tajne itd.) i zaštita intelektualne svojine; usklađenost sa zahtjevima zakonodavstva u oblasti informacione sigurnosti (zaštita ličnih podataka, zaštita prava intelektualne svojine, zaštita djece od negativnih informacija).

Problem #1: Različite grupe korisnika

Moderan univerzitet i njegova mreža je heterogeno okruženje u kojem se sukobljavaju interesi i podaci različitih grupa korisnika. Univerzitetska mreža može sadržavati sljedeće kategorije korisnika sa različitim zahtjevima za informacijsku sigurnost: studenti i studenti na razmjeni; nastavnici i administracija; školarci koji pohađaju pripremne kurseve prije upisa na univerzitet; posjetiteljima plaćenih kurseva i kurseva napredne obuke koje nudi univerzitet u cilju sticanja dodatnih izvora prihoda, kao i predstavnicima organizacija koje pružaju univerzitetu komercijalne narudžbe, na primjer, u oblasti istraživanja i razvoja.

Izazov #2: Transformacija pristupa i koncept bilo kojeg uređaja

Kako se perimetar tradicionalne mreže univerzitetskih kampusa i dalje zamagljuje, a univerzitetsko okruženje postepeno gubi svoje granice, pametni telefoni, tableti, drugi terminalni uređaji i web aplikacije nepovratno mijenjaju obrazovni proces, pružajući mogućnost pristupa obrazovnim materijalima s bilo kojeg mjesta u svijetu. - iz univerzitetske učionice, hostela, stanovanja, kampusa, drugog univerziteta na koji studenti idu radi razmjene iskustava itd. Cisco slijedi koncept bilo kojeg uređaja, koji ima za cilj proširiti slobodu izbora uređaja za korisnike univerzitetskih kampusa uz održavanje zajedničkog i predvidljivog iskustva. Sve to održava ili čak povećava nivo konkurentnosti, produktivnosti i sigurnosti obrazovne ustanove.

Istovremeno, prilikom uvođenja koncepta "bilo koji uređaj" javlja se niz problema IS koje je potrebno riješiti. U ovom slučaju morate obezbijediti:

Sprečavanje neovlaštenog povezivanja mrežnih pretplatničkih uređaja: stacionarnih računara (radne stanice ili radne stanice), laptopa (mobilne radne stanice), mobilnih uređaja (tablet PC računara sa operativnim sistemom Android i iOS), mrežnih štampača i IP telefona na univerzitetsku mrežu; usklađenost sa zahtjevima i preporukama aktuelnih politika informacione sigurnosti, kao i mogućnost daljinske kontrole mobilnih uređaja povezanih na univerzitetsku mrežu radi usklađenosti sa važećim politikama informacione sigurnosti; osim toga, treba obezbijediti organizaciju logične podjele univerzitetske mreže na sigurnosne zone bez promjene postojeće infrastrukture (postojeća podjela mreže na segmente), kako bi se dodijelile zone za goste i zone ograničenog pristupa za povezivanje pretplatničkih uređaja različite grupe korisnika, kao i korisnici mobilnih uređaja (tablet PC-a koji koriste Android i iOS).

Problem broj 3: zaštita informacionih sistema i ograničenih informacija

Moderni univerzitet je skladište raznih informacija koje treba zaštititi. radi se o:

Lični podaci učenika, nastavnika, administracije i drugih kategorija korisnika; podatke koji predstavljaju poslovnu tajnu univerziteta i omogućavaju mu da bude ispred drugih univerziteta u pružanju kvalitetnijih obrazovnih i obrazovnih programa, kao i naprednijih metoda nastave; obrazovne materijale koje je izradio univerzitet, čiji pristup treba ili ograničiti ili kontrolisati, jer oni su intelektualno vlasništvo; softver ili licence koje je stekao univerzitet, čija krađa može pogoršati položaj obrazovne ustanove u konkurentskoj borbi ili povlačiti krivičnu ili administrativnu odgovornost. Konačno, rezultati istraživanja i razvoja koje univerzitet može provesti na zahtjev komercijalnih ili državnih kupaca podliježu zaštiti.

Pored zaštite informacija sa ograničenim pristupom, treba osigurati i sigurnost informacionih sistema obrazovnog procesa. Slučajno ili namjerno ometanje ovih sistema može poremetiti proces učenja i narušiti ugovorne uslove (u slučaju plaćene obuke ili implementacije različitih istraživanja i razvoja).

Problem #4: Zakonska ograničenja

Pored zaštite informacionih sistema i informacija koje univerzitetu daju konkurentske prednosti, sistem informacione bezbednosti treba da omogući sprovođenje zakonodavnih inicijativa u cilju zaštite prava i interesa različitih grupa građana i organizacija. Normativni akti koje je univerzitet dužan da poštuje prvenstveno obuhvataju:

Federalni zakon od 27. jula 2006. br. 152-FZ „O ličnim podacima“; savezni zakon od 28. jula 2012. br. 139-FZ „O izmjenama i dopunama Federalnog zakona „O zaštiti djece od informacija štetnih po njihovo zdravlje i razvoj” i određenim zakonodavnim aktima Ruske Federacije o pitanju ograničavanja pristupa ilegalnim informacije na Internetu”; savezni zakon od 2. jula 2013. br. 187-FZ "O izmjenama i dopunama zakonskih akata Ruske Federacije o zaštiti intelektualnih prava u informacionim i telekomunikacionim mrežama".

Problem #5: Sve veći broj prijetnji

Okruženje mrežne sigurnosne prijetnje je u stalnoj evoluciji. Vodeće pozicije u njemu zauzimaju posebno napisane, skrivene prijetnje, koje sve više mogu savladati tradicionalne metode i sredstva zaštite. Ove prijetnje prodiru unutar mreže - na nivou jezgre, nivou distribucije i nivou pristupa korisnika, gdje su zaštita od prijetnji i vidljivost na minimumu. Odatle, ove prijetnje nemaju poteškoća da izaberu svoje ciljeve - specifične resurse, pa čak i određene ljude na univerzitetu. Svrha modernih cyber prijetnji nije stjecanje slave i slave, pa čak ni stvaranje profitabilnog botnet-a, već zaplijeniti i ukrasti intelektualno vlasništvo ili poslovne i druge tajne kako bi se ostvarile konkurentske prednosti.

Cisco rješenja za sigurnost informacija

Cisco SecureX Architecture™ je bezbednosna arhitektura nove generacije koja kombinuje fleksibilna rešenja, proizvode i usluge za oblikovanje i sprovođenje doslednih poslovnih politika širom moderne univerzitetske distribuirane mreže. Cisco SecureX arhitektura integriše globalnu inteligenciju o pretnjama i kontekstualnu svest kako bi se suočila sa jedinstvenim bezbednosnim izazovima kao što su porast broja visoko mobilnih korisnika, proširenje mobilnih uređaja sa omogućenom mrežom ili prelazak na infrastrukturu i usluge u oblaku.

Cisco SecureX zadovoljava potrebe današnjih zamućenih mreža pružajući efikasnu sigurnost za svakog korisnika, na bilo kom uređaju, bilo gdje, bilo kada. Ova nova sigurnosna arhitektura koristi jezik politike višeg nivoa koji "razumije" puni kontekst situacije - ko, šta, gdje, kada i kako. Zahvaljujući distribuiranoj implementaciji sigurnosnih politika, proces zaštite se približava radnom mjestu krajnjeg korisnika bilo gdje u svijetu, čime se omogućava ne samo osiguranje svakog uređaja ili korisnika, već i, ako je potrebno, lokalizacija prijetnje kao što bliže svom izvoru.

Rešenja uključena u Cisco SecureX ispunjavaju zahteve ruskih državnih organa ovlašćenih u oblasti informacione bezbednosti i imaju preko 600 različitih FSTEC i FSB bezbednosnih sertifikata.

Da biste brzo saznali više o materijalima Cisco stručnjaka objavljenim na Cisco blogu. Rusija/CIS“, potrebno je da se pretplatite na http://gblogs.cisco.com/en.

Oznake: sigurnost informacija, sigurnost informacija, obrazovanje, univerzitet, Cisco SecureX arhitektura, intelektualna svojina.

Pošaljite svoj dobar rad u bazu znanja je jednostavno. Koristite obrazac ispod

Studenti, postdiplomci, mladi naučnici koji koriste bazu znanja u svom studiranju i radu biće vam veoma zahvalni.

Objavljeno na http://www.allbest.ru

• UVOD
• RELEVANTNOST
• 1. PROUČAVANJE INFORMACIONOG SISTEMA PREDUZEĆA
• 1.1. Opis preduzeća
• 1.2. Sastav hardvera i softvera i struktura mreže
• 1.3. Analiza tokova informacija
• 1.4. Analiza informacionih resursa
• 1.5. Fizička sigurnost objekata (sigurnost)
• 2. ANALIZA I RAZVOJ MODELA PRETNJE
• 2.1. Klasifikacija i analiza izvora prijetnji i sigurnosnih ranjivosti
• 2.2. Intruder Model
• 2.3. Utvrđivanje stvarnih prijetnji informacionom sistemu
• 2.4. Određivanje klase sigurnosti informacionog sistema
• 3. RAZVOJ MODELA SISTEMA BEZBEDNOSTI INFORMACIJA
• 3.1. Analiza usklađenosti sa standardima i postojećim politikama
• 3.2. Razvoj politike informacione sigurnosti
• 4. RAZVOJ PORTALA PRIMARNE OVLAŠĆENJA
• 4.2. Zahtjevi funkcionalnosti portala
• 4.3. Razvoj portala
• ZAKLJUČAK
• BIBLIOGRAFIJA
• DODATAK

UVOD

Osiguranje sigurnosti informacionih resursa dugo je bilo predmet rasprave u mnogim institucijama, zajedno sa razvojem informacionih tehnologija, to je dovelo do razvoja automatizovanih sistema. Efikasan sistem bezbednosti informacija omogućava minimiziranje rizika povezanih sa informacijama i doprinosi stabilnom radu tokova informacija preduzeća.

Sigurnost javnih institucija, kao što su visokoškolske ustanove, također zahtijeva visok nivo sigurnosti informacija.

Informaciona sredstva univerziteta čine ogromnu količinu informacija o obrazovnim aktivnostima, aktivnostima zaposlenih sa različitim nivoima pristupa. Zaposleni i studenti univerziteta također su odličan primjer pojedinaca s različitim pravima pristupa informacijama. Stoga je odlučeno da se razvije efikasan set mjera za osiguranje informacione sigurnosti univerziteta.

Svrha diplomskog rada je razviti skup mjera usmjerenih na osiguranje informatičke sigurnosti univerziteta na primjeru Nižnji Novgorodskog državnog univerziteta za arhitekturu i građevinarstvo. bezbednost informacija od pretnji

Predmet istraživanja u diplomskom radu je sistem zaštite informacione bezbednosti Nižnji Novgorodskog državnog univerziteta za arhitekturu i građevinarstvo.

Diplomski rad se sastoji od četiri poglavlja. Prvo poglavlje predstavlja opis informacionog sistema organizacije, analizu informacionih resursa i tehničkih sredstava. U drugom poglavlju analiziraju se potencijalne prijetnje sistemu i definira se model uljeza. U trećem poglavlju razvija se politika sigurnosti informacija. Četvrto poglavlje, u formi objašnjenja, sadrži proces implementacije portala primarne autorizacije.

RELEVANTNOST

U sadašnjoj fazi razvoja društva, informaciona tehnologija je njegov sastavni dio. Informacije su postale jedno od glavnih sredstava društveno-ekonomskog, tehničkog i naučnog napretka svjetske zajednice. Razvoj informacionih tehnologija i širenje informacionog prostora dovodi do sve većeg nivoa napada i prekršaja u ovoj oblasti, što probleme informacione sigurnosti čini sve aktuelnijim. Informaciona sigurnost se podrazumijeva kao stanje zaštite informacija i infrastrukture koja ih podržava od slučajnih ili namjernih uticaja prirodne ili vještačke prirode koji mogu naštetiti vlasnicima ili korisnicima informacija.

Osiguravanje informacione sigurnosti jedan je od ključnih faktora za stabilno funkcionisanje svakog preduzeća. Danas je povjerljivost, integritet i dostupnost informacija važan aspekt kontinuiteta poslovanja, pa se sve veći broj organizacija fokusira na pitanje sigurnosti informacija. Dakle, postoji potreba za efikasnim i integrisanim sistemom bezbednosti informacija.

Vrlo često, prilikom kreiranja informacionog sistema, organizacije nastoje da obezbede svoja informaciona sredstva samo na hardverskom i softverskom nivou zaštite. Ali ovaj nivo sigurnosti je neefikasan i mora biti podržan pravilima i propisima o sigurnosti informacija.

Priprema i implementacija sistema bezbednosti u instituciji treba da se vrši na osnovu postojećeg zakonodavstva i regulatornih zahteva u oblasti informacione bezbednosti. Glavni dokument je Ustav Ruske Federacije, prema kojem "prikupljanje, čuvanje, korištenje i širenje informacija o privatnom životu osobe bez njegovog pristanka nije dozvoljeno".

Drugi osnovni dokumenti iz oblasti informacione bezbednosti su Federalni zakon od 27. jula 2006. godine br. 149-FZ „O informacijama, informacionim tehnologijama i zaštiti informacija“, prema kojem je potrebno zaštititi informacije od neovlašćenog pristupa, modifikacije, uništenja. , kopiranje i distribucija podataka . Federalni zakon br. 152-FZ od 27. jula 2006. „O ličnim podacima“ reguliše radnje koje se odnose na obradu ličnih podataka od strane državnih institucija koristeći automatizovane sisteme.

Također treba uzeti u obzir zakon Ruske Federacije "O državnim tajnama" i zakon Ruske Federacije "O poslovnim tajnama", koji reguliše postupak klasificiranja informacija kao službene tajne, režim službene tajne i postupak. za otkrivanje službenih podataka. Postoji i niz zakona u skladu sa kojima se formiraju nivoi povjerljivosti podataka („O odobravanju Liste podataka povjerljive prirode“; „O odobravanju Liste podataka koji su klasifikovani kao državna tajna“; odobrenje Liste podataka koji ne mogu biti poslovna tajna”).

Generalno, zakonodavni RF ne uzimaju u obzir i u potpunosti ne regulišu skladištenje i upotrebu povjerljivih podataka.

Standardi i specifikacije su glavni propisi za osiguranje sigurnosti na proceduralnim i hardversko-softverskim nivoima. To su dokumenti koji sadrže dokazane, visokokvalitetne sigurnosne metodologije i alate.

U skladu sa standardima, osiguranje sigurnosti objekata informacionog sistema treba da se sastoji od sljedećih koraka:

- određivanje ciljeva za osiguranje informacione sigurnosti;

– dizajniranje efikasnog sistema upravljanja;

– analiza i procjena usklađenosti sa postavljenim ciljevima;

– analiza početnog stanja sigurnosti;

ISO 15408: Zajednički kriterijumi za procenu bezbednosti informacionih tehnologija (Zajednički kriterijumi za procenu bezbednosti informacionih tehnologija) sadrži najsveobuhvatnije kriterijume za sigurnost softvera i hardvera. Opšti kriterijumi postavljaju zahteve za sigurnosnu funkcionalnost. Pored hardversko-softverskog nivoa zaštite, standard opisuje neke zahteve za bezbednosne metode na organizacionom nivou i fizičku zaštitu. Standard se sastoji od tri dijela:

- prvi dio obuhvata konceptualni aparat, prikaz modela i metodologije za procjenu sigurnosti informacionih tehnologija;

– drugi dio direktno sadrži zahtjeve za funkcionalnost hardvera i softvera;

– treći dio sadrži zahtjeve sigurnosnih garancija;

ISO 17799: Kodeks prakse za upravljanje sigurnošću informacija pruža najsveobuhvatnije kriterijume na nivou organizacije.

Standard sadrži najefikasnija pravila upravljanja bezbednošću informacija i kriterijume za procenu bezbednosnih praksi na nivou organizacije, uzimajući u obzir administrativne, proceduralne i fizičke zaštite. Standard sadrži sljedeće dijelove:

- Sigurnosna politika;

– organizacija informacione sigurnosti;

- upravljanje resursima;

– sigurnost ljudskih resursa;

– fizičko obezbeđenje;

- kontrole pristupa;

– administracija informacionih sistema;

– razvoj i održavanje informacionih sistema;

– planiranje kontinuiranog rada;

– kontrola poštovanja sigurnosnih zahtjeva;

Vodeći dokument Državne tehničke komisije Ruske Federacije "Kriterijumi za procjenu sigurnosti informacionih tehnologija." Ovaj dokument je razvijen u skladu sa GOST R ISO/IEC 15408-2002 i osigurava njegovu praktičnu upotrebu. Osnovni cilj RD je implementacija integrisanih metoda za osiguranje sigurnosti informacionih sistema i korišćenje potrebne funkcionalnosti. Cilj mu je dizajnirati sigurnosne sisteme koji odgovaraju mogućim prijetnjama i održavati ravnotežu između efikasnosti i troškova.

Vodeći dokument Državne tehničke komisije Ruske Federacije „Automatski sistemi. Zaštita od neovlaštenog pristupa informacijama. Klasifikacija automatizovanih sistema i zahtevi za zaštitu informacija”. Ovaj RD definiše klasifikaciju AU i, u skladu sa klasom, utvrđuje zahteve za moguće podsisteme.

Vodeći dokument Državne tehničke komisije Ruske Federacije „Računarska postrojenja. Zaštitni zidovi. Zaštita od neovlaštenog pristupa informacijama. Indikatori sigurnosti od neovlašćenog pristupa informacijama. Prvi RD, koji nema stranih analoga. Glavna ideja ovog RD-a je klasifikacija firewall-a u skladu sa OSI mrežnim modelom, koji filtrira tokove podataka.

Do danas je u oblasti implementacije sigurnosnih sistema formiran koncept „najbolje prakse“. "Najbolje prakse" su one sigurnosne politike koje odražavaju najbolje sigurnosne procedure, alate, smjernice i standarde i mogu se koristiti kao mjerilo za razvoj sigurnosnog sistema. Politike kompanija kao što su Microsoft, IBM, Symantec itd. smatraju se referentnim.

1. Symantec politika

Stručnjaci Symanteca kažu da su osnova efikasnog bezbednosnog sistema dokumenti vodilja, koji uključuju: bezbednosne politike, međunarodne standarde, opise bezbednosnih procedura i metrike. Svi ovi dokumenti sa uputstvima mogu odgovoriti na tri glavna pitanja:

Zašto je važno zaštititi informacije?

Šta treba učiniti da se osigura sigurnost?

Kako implementirati politiku prema potrebi?

Razvoj integrisanog sigurnosnog sistema treba da obuhvati sledeće korake:

– analiza informacionih sredstava;

– identifikaciju mogućih prijetnji;

– analiza i procjena sigurnosnih rizika;

– imenovanje lica odgovornih za obezbjeđenje sigurnosti;

– stvaranje integrisanog sistema, u skladu sa standardima, smjernicama i procedurama;

– upravljanje sigurnosnim sistemom;

2. Microsoft politika

Microsoftova strategija informacionih politika ima četiri glavne komponente:

- svrhu osiguranja informacione sigurnosti preduzeća;

– standardi sigurnosti sistema

– šema donošenja odluka (na osnovu rezultata analize rizika);

– utvrđivanje radnji za minimiziranje rizika;

Proces razvoja sigurnosne politike podijeljen je u četiri kategorije:

- organizacione (usmjerene na podizanje svijesti i proširenje znanja zaposlenih u oblasti informacione sigurnosti, kao i podršku menadžmentu);

– podaci i korisnici (obuhvata sredstva zaštite kao što su: autorizacija, zaštita ličnih podataka, autentifikacija);

– razvoj sistema (dizajniranje bezbednog sistema, smanjenje površine napada, obezbeđivanje lakoće korišćenja);

– podrška (redovno praćenje i evidentiranje sistema, odgovor na incidente i incidente);

Za održavanje nivoa sigurnosti, kompanija primjenjuje kontrolu informacionog rizika (identifikacija, procjena i minimizacija rizika). Ovaj pristup vam omogućava da postignete ravnotežu između zahtjeva i načina zaštite.

3. IBM politika

IBM stručnjaci razlikuju četiri glavne faze izgradnje sigurnosnog sistema:

– identifikaciju informacionih rizika i metode postupanja s njima;

– opis mjera zaštite imovine u skladu sa ciljevima i ciljevima društva;

– opis postupanja u slučaju incidenata;

– analiza preostalih rizika i odluka o dodatnom ulaganju u sigurnosne metode;

Odgovor na pitanje "Šta treba zaštititi?" - glavni aspekt politike informacione sigurnosti, u skladu sa strategijom IBM-a. Politiku treba kreirati sa ciljem minimalnih promjena u budućnosti. Efikasna bezbednosna politika treba da sadrži:

– ciljevi i zadaci osiguranja informacione sigurnosti;

– interakcija sa sigurnosnim standardima i zakonodavstvom;

– proširenje znanja o pitanjima sigurnosti informacija;

- otkrivanje i otklanjanje virusnih napada;

– osiguranje kontinuiteta poslovanja;

– utvrđivanje uloga i odgovornosti osoblja;

– evidentiranje sigurnosnih incidenata;

Slijedi proces izrade dokumentacije koja sadrži pravila za analizu rizika kompanije, opis preporučenih metoda i sredstava zaštite i sl. Dokumentacija može biti podložna promjenama u skladu sa trenutnim ranjivostima i prijetnjama.

Međutim, pored zakonskog okvira, sistem informacione sigurnosti i njegove funkcije za osiguranje stanja sigurnosti objekta moraju se implementirati u skladu sa sljedećim principima:

- legitimitet (izrada sistema informacione bezbednosti, kao i sprovođenje mera zaštite koje nisu u suprotnosti sa zakonom i propisima);

– složenost (razvijeni sistem zaštite obezbeđuje kompleksnu implementaciju metoda, obezbeđuje zaštitu informacionih resursa na tehničkom i organizacionom nivou i sprečava moguće načine implementacije pretnji);

– postojanost (omogućava kontinuiranu zaštitu objekata);

- progresivnost (podrazumeva kontinuirani razvoj sredstava i metoda zaštite, u skladu sa razvojem tehnologija i metoda napada);

– racionalnost (upotreba isplativih i efektivnih sredstava zaštite);

- odgovornost (svaki zaposleni jamči za osiguranje sigurnosti u okviru svojih ovlaštenja);

– kontrola (podrazumeva stalno praćenje zaštite i blagovremeno otkrivanje pretnji);

– korišćenje postojećeg sistema bezbednosti (projektovani sistem je kreiran na osnovu postojećeg sistema, korišćenjem standardnog hardvera i softvera);

- korištenje hardverskih i softverskih komponenti zaštite domaće proizvodnje (projektom sigurnosnog sistema predviđena je dominacija domaćih tehničkih sredstava zaštite);

- faza (poželjno je projektirati sigurnosni sistem u fazama);

Nakon analize postojećih politika i standarda informacione sigurnosti, može se tvrditi da je potreban skup mjera za osiguranje odgovarajućeg nivoa zaštite informacija, uključujući softverske funkcije, sigurnosne politike, metode i organizacione strukture. U skladu s tim i sa glavnim ciljem, potrebno je izvršiti sljedeće poslove:

– proučiti početnu informatičku i organizacionu strukturu Nižnji Novgorodskog državnog univerziteta za arhitekturu i građevinarstvo;

- na osnovu rezultata analize inicijalnog informacionog sistema utvrditi specifične prijetnje i ranjivosti informacione sigurnosti;

– utvrđivanje nivoa i klase početne sigurnosti objekta;

– identifikuju trenutne pretnje;

- napraviti model uljeza;

– uporediti izvorni sistem sa zahtjevima sigurnosnih standarda;

– razvijaju bezbednosnu politiku i definišu radnje za obezbeđivanje informacione bezbednosti;

Ispunjavanje gore navedenih ciljeva i zadataka omogućiće stvaranje efikasnog sistema informacione bezbednosti preduzeća koji ispunjava zahteve zakonodavstva i standarda bezbednosti informacija.

1. PROUČAVANJE INFORMACIONOG SISTEMA PREDUZEĆA

1.1. Opis preduzeća

Puni naziv organizacije : Federalna državna budžetska obrazovna ustanova visokog stručnog obrazovanja "Nižnji Novgorodski državni univerzitet za arhitekturu i građevinarstvo".

Skraćeni nazivi: NNGASU, Državni univerzitet za arhitekturu i građevinarstvo Nižnji Novgorod.

Puni naziv na engleskom: Državni univerzitet za arhitekturu i građevinarstvo Nižnji Novgorod.

Skraćeni naziv na engleskom: NNGASU.

Lokacija univerziteta: 603950, oblast Nižnji Novgorod, Nižnji Novgorod, ul. Iljinskaja, 65.

Osnivač univerziteta je Ruska Federacija. Funkcije i ovlasti osnivača univerziteta obavlja Ministarstvo obrazovanja i nauke Ruske Federacije.

Lokacija osnivača: 125993, Moskva, ul. Tverskaja, 11.

Rektor - Andrej Aleksandrovič Lapšin

FSBEI HPE "Nižnji Novgorodski državni univerzitet za arhitekturu i građevinarstvo" je neprofitna organizacija stvorena za razvoj privrede i društvenog okruženja regiona, industrije i Rusije poboljšanjem nivoa obrazovanja studenata na osnovu dostignuća nauke, inovacija i tehnologije.

Glavne aktivnosti Federalne državne budžetske obrazovne ustanove visokog stručnog obrazovanja "Nižnji Novgorodski državni univerzitet za arhitekturu i građevinarstvo":

· Priprema konkurentnih, na ruskom i međunarodnom tržištu rada, specijalista u građevinarstvu i srodnim delatnostima, na osnovu savremenih obrazovnih standarda i naučnih istraživanja;

· Osigurati da se naučni potencijal sposoban da izdrži konkurenciju uključi u realne sektore privrede zemlje;

· Stvaranje i unapređenje uslova neophodnih za samorealizaciju, kao i profesionalni razvoj zaposlenih i studenata;

· Razvoj međuuniverzitetske saradnje na ruskom i međunarodnom nivou i jačanje pozicije u međunarodnoj areni;

Opšte rukovođenje univerzitetom vrši Nastavno-naučno vijeće u čijem sastavu su: rektor (predsjedavajući Nastavnog vijeća), prorektori, dekani fakulteta (odlukom Nastavnog vijeća). Također, organizaciona struktura univerziteta uključuje odjele, centre, odjele i druge odjele. Detaljna organizaciona struktura prikazana je na slici 1.

Slika 1. Organizaciona struktura Nižnjeg Novgorodskog državnog univerziteta za arhitekturu i građevinarstvo

Nižnji Novgorodski državni univerzitet za arhitekturu i građevinarstvo, sa strukturom koja se kontinuirano razvija i modernizovanom obrazovnom i naučnom bazom, u savremenim uslovima je kompleks koji aktivno napreduje. Univerzitet ima veliku informatičku bazu koja je sadržana u specijalizovanim softverskim proizvodima. Informaciona zaštita institucije je predstavljena na prilično visokom nivou, ali je u okviru stalno napredujućih napada i kršenja potrebno je unaprijediti.

1.2 Sastav hardvera i softvera i struktura mreže

Obrazovni proces u NNGASU prati značajna informaciona baza, razvoj kompjuterskog parka i uvođenje modernizovanih informacionih sistema u obrazovni proces. Za obezbeđivanje obrazovnog procesa sva odeljenja i odeljenja su opremljena personalnim računarima i potrebnom opremom. Za rješavanje problema u oblasti primjene savremenih informacionih tehnologija, na univerzitetu je opremljeno 8 računarskih odjeljenja. Svi personalni računari univerziteta opremljeni su licenciranim Microsoft softverom i antivirusnom zaštitom. Sav hardver je predstavljen u tabeli 1.

Tabela 1. Sastav hardvera

Danas univerzitet posvećuje pažnju kompjuterizaciji obrazovnog procesa. Za optimizaciju obrazovnih aktivnosti, univerzitet posjeduje sve potrebne moderne softverske pakete. Tabela 2 navodi softver koji se koristi u NNGASU.

Tabela 2. Softver

			Naziv softverskog proizvoda
	MS Windows Server
	MS Visual Studio
			Aros - Vođa
			1C Enterprise
	Borland Developer Studio
	macromedia dreamviewer
			Panorama GIS mapa
			SITHIS: Solaris.
			Gosstroysmet
			Velika procjena
			BIZNIS - preduzeće

Svi računari univerziteta povezani su na lokalnu mrežu i imaju pristup internetu putem sigurne veze. Čvorovi optičkih linija su opremljeni upravljanim prekidačima. Za stalni pristup Internetu, sistem je opremljen vezom sa dva provajdera koji pružaju kanale brzinom od 20 Mbps i 10 Mbps. Prilikom pokušaja preuzimanja informacija koje nisu vezane za obrazovni proces, korisnički promet postaje ograničen. Na softverskom nivou zaštite koriste se različiti domeni za studente i zaposlene.

Za prijenos paketa između mrežnih segmenata koristi se MicroTic ruter, koji vam omogućava da rasporedite opterećenje bez gubitka podataka. Kroz njega prolaze WAN paketi, udaljene korisničke stranice i NauDoc sistemski paketi.

Mrežna struktura je opremljena sa jedanaest fizičkih servera, od kojih su četiri virtuelne mašinske stanice. Na ovim elementima mreže instalirani su informativni i referentni materijali, serveri baze podataka, kao i mail serveri i sajtovi. Ustanova ima 14 virtuelnih servera sa pristupom globalnoj mreži. Glavni server koji propušta sve informacije je Nginx. Nginx je web server, mail proxy i TCP proxy. Ovaj server prima dolazne podatke na portu 80, a tek onda ih usmjerava na potrebne servere (Ubuntu, Suse, CentOS, Win2008_IIS, Win7). Struktura mreže univerziteta prikazana je na slici 2.

Slika 2. Mrežna struktura FSBEI HPE "Nižnji Novgorodski državni univerzitet za arhitekturu i građevinarstvo"

Demilitarizovana zona, računarske laboratorije, ViPNet i sam univerzitet, svaki od ovih elemenata uključen je u zasebne virtuelne lokalne mreže (VLAN), što smanjuje opterećenje mrežnih uređaja (promet sa jedne domene ne ide na drugu domenu). Također, ova tehnologija omogućava isključivanje neovlaštenog pristupa, jer. prekidač prekida pakete iz drugih virtuelnih mreža.

S obzirom da ustanova koristi usluge dva provajdera, postoji potreba za nesmetanim radom Interneta pri prelasku sa glavnog kanala na rezervni. Softverski paket Squid se koristi kao proxy server za keširanje. Glavni zadaci Squid u ovoj instituciji:

– Prilikom posete istim sajtovima, oni se keširaju, a deo podataka dolazi direktno sa servera;

– Mogućnost praćenja posjećenih stranica i preuzetih datoteka od strane administratora sistema;

– Blokiranje određenih sajtova;

– Raspodjela opterećenja između kanala;

Institucija koristi Microsoft Forefront Threat Management Gateway kao drugi zaštitni zid. U kompleksu Microsoft Forefront pruža se visok nivo sigurnosti i omogućava vam da upravljate sigurnošću mrežne strukture. Konkretno, Microsoft Forefront TMG je proxy server koji vam omogućava zaštitu od vanjskih napada, kontrolu prometa i primanje i prosljeđivanje dolaznih paketa.

Institucija koristi ViPNet tehnologiju za interakciju sa Ministarstvom obrazovanja i nauke Ruske Federacije. ViPNet pruža zaštitu u velikim mrežama i stvara bezbedno okruženje za prenos informacija sa ograničenim pristupom javnim komunikacionim kanalima kroz implementaciju virtuelne privatne mreže (VPN).

U savremenoj korporativnoj infrastrukturi postoji potreba za centralizovanim upravljanjem i hardverskom virtuelizacijom lokalne mreže. U tu svrhu univerzitet koristi Microsoft Hyper-V sistem, koji omogućava administratoru sistema, u okviru korporativnog sistema, da reši nekoliko problema:

– povećanje nivoa sigurnosti;

– zaštita informacionih resursa;

– centralizovano skladištenje podataka;

– skalabilnost;

1.3 Analiza toka informacija

Univerzitetski informacioni resursi kruže i unutar sistema i kroz eksterne kanale. Kako bi osigurao zaštitu i redoslijed informacija, univerzitet koristi savremene informacione sisteme različitih vrsta.

Najznačajniji i najobimniji je Tandem e - Learning - sveobuhvatni informacioni sistem koji omogućava praćenje redovnog obrazovanja i implementira obrazovanje na daljinu kao jedan od modernizovanih pristupa e-učenju. Tandem e - Learning je zatvoreni obrazovni portal, kojem pristupaju univerzitetsko osoblje i studenti registracijom. Pristup sistemu je moguć kako sa internih računara tako i sa eksternih uređaja.

Drugi sistem učenja na daljinu je Moodle. Ovaj portal je također privatan i zahtijeva registraciju. Baš kao i Tandemu, Moodleu se može pristupiti sa vanjskih uređaja.

Oba portala su bazirana na Sistemu upravljanja obrazovanjem (LMS). LMS vam omogućava upravljanje i distribuciju obrazovnog materijala i pružanje dijeljenja.

Korporativni informacioni sistem implementiran je kroz sistem Tandem univerziteta, koji sadrži informacije o obrazovnom procesu. Studenti, osoblje i viši menadžment imaju pristup sistemu Tandem. Zaštita ovog sistema je obezbeđena činjenicom da je izolovan i nema pristup lokalnoj mreži. Svi resursi korporativne mreže nalaze se na četiri servera, od kojih dva sadrže bazu podataka i glavni portal, te dva test servera.

Protok dokumenata na univerzitetu odvija se kroz NauDoc sistem. Ovo je sistem za upravljanje dokumentima baziran na oblaku za registraciju, obradu i računovodstvo dokumenata unutar ustanove. Pristup sistemu ima univerzitetska kancelarija, filijale i dolazne organizacije.

Sadržaj web stranice univerziteta kontroliše profesionalni sistem upravljanja 1C - Bitrix. Prednost ovog sistema je što je u mogućnosti da poveća brzinu odziva sajta.

Služba računovodstva se servisira kroz automatizovani procesni sistem "PARUS - Računovodstvo". Ovaj softverski paket vam omogućava da u potpunosti automatizujete računovodstvo imovine, obračuna i sredstava. Kao i korporativni sistem Univerziteta Tandem, "PARUS - Računovodstvo" je izolovan, a pristup mu imaju samo zaposleni u računovodstvenoj službi.

Univerzitetska biblioteka je takođe automatizovana i kontrolisana preko informaciono-bibliotečkog sistema MARK - SQL. Ovaj sistem sadrži veliki broj informacionih resursa, uključujući i katalog informacija, koji se čuva na zasebnom Windows serveru.

Također, neki od resursa su sadržani u sljedećim informacionim sistemima:

– Konsultant+ (referenca - pravni sistem);

– TechExpert (informaciono-referentni sistem koji sadrži regulatorne, pravne i tehničke informacije iz oblasti „Biznis za biznis“);

– Norma CS (referentni sistem za traženje i korišćenje standarda i propisa u projektovanju);

– OTRS (sistem za obradu zahtjeva);

– RedMine (interna baza podataka);

– AIST (kadrovska služba);

1.4 Analiza izvora informacija

Informacijski sistem Nižnjeg Novgorodskog državnog univerziteta za arhitekturu i građevinarstvo sadrži ogromnu količinu informacijskih resursa (baze podataka, dokumentaciju, lične podatke, arhive, biblioteke), koji su, zauzvrat, glavni objekt zaštite. Preporučljivo je uvesti nekoliko nivoa povjerljivosti informacija:

Ograničene informacije:

- službena tajna - podaci koji sadrže podatke o finansijama, proizvodnji, upravljanju i drugim djelatnostima subjekta čije otkrivanje može uzrokovati ekonomsku štetu;

– Stručna tajna – podaci koji sadrže organizaciju obrazovnih aktivnosti i procesa.

– Lični podaci – bilo koja informacija koja sadrži podatke o određenoj osobi (podaci o učenicima, nastavnicima, itd.);

Zajedničke informacije:

- Uredbe, uredbe, naredbe;

– Informacije koje sadrže statističke podatke o obrazovnim aktivnostima;

– informacije čiji pristup nije ograničen zakonom i poveljom;

1.5 Fizička sigurnost objekata (sigurnost)

Objekat je pod 24-satnim nadzorom putem obezbjeđenja. Ulaz na teritoriju univerziteta vrši se sa ličnim propusnicama. Posjetioci imaju pravo ući na teritoriju samo u pratnji službenika ustanove. Univerzitet je implementirao protupožarni i protuprovalni alarm i instalirao odgovarajuće senzore. Hardver za skladištenje informacija (serveri) se nalazi u posebnoj prostoriji. Objekat se nadgleda putem sistema video nadzora.

Glavni objekti zaštite uključuju:

– serveri baze podataka;

– stanica za upravljanje računima;

– ftp i www - serveri;

– LAN računovodstvo i dr.;

– Podaci iz arhiva, finansijskih, statističkih i obrazovnih službi;

– Eksterni i interni informacioni resursi;

2. ANALIZA I RAZVOJ MODELA PRETNJE

2.1 Klasifikacija i analiza izvora prijetnji i sigurnosnih ranjivosti

U informacionoj bezbednosti, pretnja je potencijalni događaj ili radnja koja može uticati na rad računarske mreže i dovesti do kvara bezbednosnog sistema. Kada su izložene resursima, prijetnje dovode do neovlaštenog pristupa, izobličenja i distribucije zaštićenih podataka. Preporučljivo je podijeliti izvore prijetnji u sljedeće grupe:

- antropogene prijetnje (slučajne greške u razvoju i radu komponenti sigurnosnog sistema, namjerne akcije uljeza);

– tehnogene prijetnje (kvarovi i kvarovi tehničke opreme);

– prirodne opasnosti (prirodne sigurnosne prijetnje);

Tabela 2 predstavlja klasifikaciju i moguće prijetnje specifične za instituciju.

Tabela 2. Klasifikacija izvora prijetnji

Antropogeni izvori prijetnji
Interni
Osobe sa ovlaštenim pristupom sigurnosnim objektima (uprava, nastavnici, učenici)	Potencijalni hakeri
Predstavnici Odjeljenja za bezbjednost i režim	Pružaoci informacionih usluga (provajderi,
Predstavnici Sektora za informatizaciju (administrator sistema, programeri)	Predstavnici hitnih i inspekcijskih službi
Tehničko i pomoćno osoblje (čistači, električari, vodoinstalateri, stolari)	Beskrupulozni partneri
Tehnogeni izvori prijetnji
Interni
Hardver za obradu informacija lošeg kvaliteta	Komunikacioni objekti (kanali za prenos informacija)
Kvar i kvar objekata za skladištenje informacija	Struktura inženjerskih komunikacija
Neosigurano sredstvo za prenos informacija	Malware i virusi
Sigurnosni propusti

Prirodne izvore prijetnji karakteriše viša sila i odnose se na sve objekte sigurnosti. Takve prijetnje je teško predvidjeti i spriječiti. Glavni prirodni izvori prijetnji su: požari, poplave, uragani i nepredviđene okolnosti. Zaštitne mjere protiv prirodnih opasnosti moraju se provoditi u svakom trenutku.

Što se tiče navedenih prijetnji, najvjerovatnije i najopasnije su nenamjerne radnje internih korisnika i osoba direktno povezanih sa računarskom mrežom.

Najčešći i najopasniji (po visini štete) su nenamjerne greške redovnih korisnika, operatera, sistem administratora i drugih osoba koje održavaju računarsku mrežu. Antropogene prijetnje su najvjerovatnije, jer je moguće predvidjeti postupanje ljudi i preduzeti odgovarajuće protumjere, koje zavise od postupanja onih koji su odgovorni za osiguranje informacione sigurnosti.

Prijetnje su obično rezultat ranjivosti, koje zauzvrat dovode do kršenja sigurnosti. Ranjivost je nedostatak u sistemu koji omogućava da se prijetnja uspješno implementira i da se ugrozi integritet sistema. Ranjivosti mogu nastati iz nekoliko razloga:

- greške u izradi softvera (SW);

– namjerno uvođenje ranjivosti u fazi dizajna softvera;

– neovlašteno korištenje zlonamjernog softvera i, kao rezultat, rasipanje resursa;

– nenamjerne radnje korisnika;

– kršenje u radu softvera i hardvera;

Postoje sljedeće ranjivosti:

Cilj (ranjivosti koje zavise od tehničke opremljenosti informacionog sistema):

– Hardverske oznake (markeri za tehničku i perifernu opremu);

– Softverske oznake (zlonamjerni softver);

Subjektivna (ranjivosti zavise od postupaka ljudi):

– Greške (zloupotreba softvera i hardvera od strane korisnika, pogrešan unos podataka);

– Kršenja (kršenje pravila politike informacione sigurnosti, povreda pristupa i povjerljivosti, povreda rada hardvera);

Slučajni (ranjivosti uzrokovane okruženjem koje okružuje informacioni sistem)

– kvarovi (kvar na uređajima za obradu podataka, kvar mrežnih objekata, kvar sistema kontrole i sigurnosti, kvar softvera);

– kvarovi (nestanak struje);

– Šteta (kvar komunalija);

Slabljenje ili eliminisanje ranjivosti utiče na verovatnoću implementacije pretnji po bezbednost informacija.

2.2 Model uljeza

Osiguranje zaštite informatičke imovine univerziteta je specifično, jer je riječ o instituciji sa promjenjivom publikom. Zbog činjenice da napadi mogu doći od bilo kojeg aktera, korisno je podijeliti ih u dvije kategorije: vanjski uljezi i unutrašnji uljezi. Eksterni uljez je osoba koja nije zaposlena i nema pristup informacionom sistemu. Ova kategorija uključuje:

- hakeri (subjekti koji kreiraju i sprovode napade u cilju nanošenja štete i dobijanja informacija ograničenog pristupa): neovlašćenim pristupom informacionim sistemima mogu uništiti ili promeniti informacije; uvođenje zlonamernih programa i virusa, hardverskih i softverskih obeleživača, praćeno neovlašćenim pristupom);

– provajderi i dobavljači hardvera i softvera (implementacija neovlašćenog pristupa preko radnih stanica informacionim resursima i kanalima komunikacije);

Svi ostali subjekti su unutrašnji prekršioci. U skladu sa uputstvom FSTEC-a „Osnovni model pretnji bezbednosti ličnih podataka tokom njihove obrade u informacionim sistemima ličnih podataka“, interni prekršioci su podeljeni u osam kategorija:

1. Osobe koje imaju ovlašteni pristup ISPD-u, ali nemaju pristup PD-u.

U odnosu na ovu instituciju takva prava ima rukovodstvo, odjel za informatizaciju. U skladu sa svojim pravima, ova lica mogu: imati pristup određenim dijelovima PD-a koji kruže internim kanalima; znati informacije o ISPD topologiji, komunikacijskim protokolima i uslugama; identificirati imena i lozinke registriranih korisnika; promijeniti konfiguraciju hardvera i softvera.

2. Registrirani korisnici ISPD-a koji imaju ograničen pristup ISPD resursima sa radnog mjesta.

U ovu kategoriju spadaju zaposleni u odjeljenjima, nastavnici i studenti ustanove. Osobe u ovoj kategoriji: imaju jedan identifikator i lozinku; imaju povjerljive podatke kojima imaju ovlašteni pristup.

3. Registrirani korisnici ISPD-a koji omogućavaju daljinski pristup PD putem lokalnih i (ili) distribuiranih informacionih sistema.

4. Registrirani ISPD korisnici sa pravima administratora sigurnosti ISPD segmenta.

Osobe u ovoj kategoriji: imaju informacije o softveru, hardveru koji se koristi u ovom segmentu; ima pristup objektima za zaštitu i evidentiranje i ISPD hardveru.

5. Registrirani korisnici s ovlaštenjem ISPD sistem administratora.

Osobe u ovoj kategoriji: poznaje informacije o softveru i hardveru kompletnog ISPD-a; ima fizički pristup svom hardveru; ima pravo da konfiguriše hardver.

6. Registrirani korisnici s ovlaštenjem ISPD sigurnosnog administratora.

7. Programeri - programeri i lica koja ga prate u ovom objektu.

Osobe u ovoj kategoriji: poznaju informacije o procedurama i programima obrade podataka za ISPD; može uvesti greške, greške i zlonamjerni kod u fazi razvoja; može znati informacije o topologiji i hardveru ISDN-a.

8. Programeri i osobe koje pružaju isporuku, održavanje i popravku hardvera na ISPD-u.

U odnosu na ovu instituciju, interni prekršioci su:

– korisnici informacionih resursa (osoblje odjeljenja, odjeljenja i drugih jedinica, nastavnici, studenti) (nenamjerna izmjena ili uništavanje podataka; instaliranje zlonamjernog i necertificiranog softvera; prijenos individualne lozinke neovlaštenim licima);

– osobe koje opslužuju i podržavaju informacioni sistem (slučajna ili namjerna pogrešna konfiguracija tehničkih ili mrežnih objekata);

- druga lica koja imaju pristup objektima obrade informacija (tehničko osoblje i osoblje za održavanje) (nenamjerno narušavanje operativnosti elektroenergetskih objekata i inženjerskih objekata);

Posebna i najznačajnija kategorija prekršitelja su studenti. Do danas, mnogi od njih su prilično dobro obučeni i razumiju cyber prostor. Kroz neku manipulaciju, učenici mogu proizvesti niz sigurnosnih propusta i oštećenja.

2.3 Identifikacija stvarnih prijetnji informacionom sistemu

Da bi se utvrdile stvarne sigurnosne prijetnje, moraju se uzeti u obzir dvije vrijednosti. Prvi indikator je nivo početne sigurnosti informacionog sistema. Ovo je generalizovani indikator koji zavisi od tehničkih karakteristika sistema. U tabeli 4 prikazan je proračun početne sigurnosti informacionog sistema, koja je određena procentom određenog nivoa sigurnosti prema svim raspoloživim indikatorima sigurnosti.

Tabela 4. Proračun početne sigurnosti ustanove

Sigurnosni indikatori	Sigurnosni nivo
Tehničke i operativne karakteristike ISPD-a
Po lokaciji:
distribuirani ISPD, koji pokriva nekoliko regija, teritorija, okruga ili državu u cjelini;
urbani ISPD, koji ne pokriva više od jednog naselja (gradovi, mjesta);
korporativni distribuirani ISPD, koji pokriva mnoge divizije jedne organizacije;
lokalni (kampus) ISPD raspoređen u nekoliko usko raspoređenih zgrada;
lokalni ISPD raspoređen unutar jedne zgrade
Po dostupnosti konekcije na javne mreže:
ISPDn koji ima pristup sa više tačaka javnoj mreži;
ISPDn, koji ima pristup jednoj tački javnoj mreži;
ISPD, fizički odvojen od javne mreže
Za ugrađene (pravne) operacije sa evidencijom baza ličnih podataka:
čitanje, traženje;
snimanje, brisanje, sortiranje;
modifikacija, transfer
Da ograničite pristup ličnim podacima:
ISPD, kojem imaju pristup zaposlenici organizacije koja posjeduje ISPD, naveden na listi, ili subjekt PD;
ISPD, kojem imaju pristup svi zaposleni u organizaciji koja posjeduje ISPD;
ISPD sa otvorenim pristupom
Po prisutnosti veza sa drugim PD bazama podataka drugih ISPD-ova:
integrisani ISPD (organizacija koristi nekoliko PD ISPD baza podataka, dok organizacija nije vlasnik svih PD baza podataka koje se koriste);
ISPD, koji koristi jednu PD bazu podataka, u vlasništvu organizacije - vlasnika ovog ISPD-a
Po stepenu generalizacije (depersonalizacije) PD:
ISPD, u kojem su podaci koji se pružaju korisniku anonimizirani (na nivou organizacije, industrije, regiona, regiona itd.);
ISPD, u kojem su podaci anonimizirani samo kada se prenose u druge organizacije i nisu anonimizirani kada se daju korisniku u organizaciji;
ISPD, u kojem podaci koji se pružaju korisniku nisu anonimizirani (tj. postoje informacije koje vam omogućavaju da identificirate subjekta PD-a)
Po obimu PD koji su dostavljeni korisnici ISPD-a trećih strana bez prethodne obrade:
ISPD, koji obezbjeđuje cjelokupnu bazu podataka sa PD;
ISPD, koji daje dio PD;
ISPD, koji ne daje nikakve informacije.
Broj odluka

Na osnovu rezultata analize, može se zaključiti da ISPD ustanove ima prosječan nivo sigurnosti. U skladu sa dobijenim rezultatom uvodi se koeficijent Y 1 = 5. Ovaj koeficijent je prvi parametar u određivanju relevantnosti prijetnji.

Sljedeći parametar je vjerovatnoća prijetnje ( Y 2). Ovaj indikator određuje stručnjak i ima četiri moguće vrijednosti:

- malo vjerovatno (nedostatak objektivnih preduslova za implementaciju prijetnje - 0);

- mala vjerovatnoća (očigledni preduslovi za implementaciju prijetnje postoje, ali postojeća sredstva zaštite otežavaju implementaciju - 2);

– prosječna vjerovatnoća (postoje preduslovi za implementaciju prijetnji, a početni načini zaštite su nedovoljni - 5);

- velika verovatnoća (postoje objektivni preduslovi za sprovođenje pretnji i nisu preduzete mere bezbednosti - 10);

Na osnovu dobijenih parametara izračunava se koeficijent implementacije prijetnje Y, koji je određen formulom Y = ( Y 1 +Y 2)/20. Prema rezultatu, Y uzima sljedeće vrijednosti:

– 0 < Y < 0,3 - низкая реализуемость угрозы;

– 0,3 < Y < 0,6 - средняя реализуемость угрозы;

– 0,6 < Y < 0,8 - высокая реализуемость угрозы;

– Y > 0,8 - vrlo visoka izvodljivost prijetnje;

Sljedeći korak je procjena opasnosti od prijetnje. Ovu ocjenu daje stručnjak za sigurnost i ima sljedeće vrijednosti opasnosti:

- mala opasnost - implementacija prijetnje može uzrokovati neznatnu štetu;

- srednja opasnost - implementacija prijetnje može uzrokovati štetu;

- velika opasnost - implementacija prijetnje može uzrokovati značajnu štetu;

U tabeli 5 prikazana je matrica za izračunavanje relevantnosti prijetnji, koja se dobija uzimanjem u obzir svih navedenih indikatora.

– «+» - prijetnja je stvarna;

– «-» - prijetnja je irelevantna;

Tabela 5. Matrica proračuna relevantnosti prijetnje

Vrijednost izvodljivosti prijetnje	Opasnost od opasnosti Značenje
Veoma visoko

Kao rezultat analize početne sigurnosti institucije i matrice relevantnosti prijetnji, utvrđene su prijetnje karakteristične za ovu instituciju i njihova relevantnost prema sljedećem planu: prijetnja (vjerovatnoća prijetnje; izvodljivost prijetnje) procjena rizika prijetnje) - relevantno / nebitno.

1. Neovlašćen pristup teritoriji ustanove, hardverskim objektima, dokumentaciji (mala vjerovatnoća (2); srednja izvodljivost (0,35); velika opasnost) - stvarna;

2. Krađa ili oštećenje opreme automatizovanog sistema (malo verovatno (0); niska izvodljivost (0,25); velika opasnost) - relevantno;

3. Nenamjerno uništavanje i modifikacija informacija (srednja vjerovatnoća (5); prosječna izvodljivost (0,5); velika opasnost) - relevantno;

4. Krađa papirnih informacionih resursa (malo vjerovatno (0); niska izvodljivost (0,25); srednja opasnost) - nebitno;

5. Curenje povjerljivih podataka putem mobilnih uređaja i laptopa (malo vjerovatno (0); niska izvodljivost (0,5); srednja opasnost) - nebitno;

6. Nenamjerno prekoračenje prava na korištenje opreme zbog nedostatka relevantnog znanja (srednja vjerovatnoća (5); prosječna izvodljivost (0,5); prosječna opasnost) - relevantno;

7. Presretanje prenesenih informacija skeniranjem mrežnog saobraćaja (mala vjerovatnoća (2); srednja izvodljivost (0,35); velika opasnost) - relevantno;

8. Instalacija zlonamjernog softvera treće strane (mala vjerovatnoća (2); srednja izvodljivost (0,35); srednja opasnost) - relevantno;

9. Promjena konfiguracije softverskih komponenti (srednja vjerovatnoća (5); srednja izvodljivost (0,5); visok rizik) - relevantno;

10. Uništavanje ili modifikacija podataka o registraciji korisnika (malo vjerovatno (0); niska izvodljivost (0,25); nizak rizik) - irelevantno;

11. Nenamjerno odavanje povjerljivih informacija od strane zaposlenih (velika vjerovatnoća (10); visoka izvodljivost (0,75); velika opasnost) - relevantno;

12. Razne vrste zračenja koje mogu uticati na rad tehničkih sredstava (malo vjerovatno (0); niska izvodljivost (0,25); srednja opasnost) - nebitno;

13. Kvar i kvar mrežne opreme (srednja vjerovatnoća (5); prosječna izvodljivost (0,5); prosječna opasnost) - stvarna;

14. Uništavanje podataka usled grešaka ili kvara hardvera i softvera (srednja verovatnoća (5); srednja izvodljivost (0,5); velika opasnost) - relevantno;

15. Programske oznake (mala vjerovatnoća (2); prosječna izvodljivost (0,35); prosječna opasnost) - stvarna;

16. Korišćenje tuđih registracijskih podataka za unos informacionih usluga (srednja verovatnoća (2); prosečna izvodljivost (0,35); visok rizik) – relevantno;

17. Kršenje režima i zaštitnih mjera (mala vjerovatnoća (2); prosječna izvodljivost (0,35); prosječna šteta) - stvarna;

Analizirajući postojeće prijetnje, možemo zaključiti da su sve one otklonjene tehničkim i organizacionim mjerama. Tabela 6 predstavlja mjere za borbu protiv trenutnih prijetnji koje se mogu koristiti na univerzitetu za zaštitu podataka.

Tabela 6. Metode za borbu protiv trenutnih prijetnji

trenutnu pretnju	Tehničke mjere za borbu protiv prijetnje	Organizacione mjere za borbu protiv prijetnje
Neovlašten pristup hardverskim objektima uz mogućnost krađe ili oštećenja opreme	- protuprovalni alarm i video nadzor; - kodna brava - blokator za ulazak u prostoriju sa serverima;	- sigurnosni način pristupa; - kontrola objekata za obradu informacija;
Nenamjerno uništavanje ili modifikacija informacija od strane zaposlenih	Korištenje alata za zaštitu podataka i sigurnosne kopije;	Brifing zaposlenih;
Nenamjerno prekoračenje prava na korištenje opreme zbog nedostatka relevantnog znanja	Upotreba sredstava zaštite od neovlaštenog pristupa;	- brifing zaposlenih; - diferencijacija prava pristupa;
Presretanje mrežnog saobraćaja	- šifriranje podataka; - korištenje zaštitnog zida;	- brifing administratora sigurnosti; - računovodstvo sredstava zaštite podataka;
Instaliranje zlonamjernog softvera i promjena konfiguracije softvera	Korištenje alata za zaštitu od virusa;	- brifing zaposlenih;
Nenamjerno otkrivanje povjerljivih informacija od strane zaposlenih		- brifing zaposlenih; - sastavljanje akta o neotkrivanju;
Kvar i kvar mrežne opreme sa naknadnim uništavanjem informacija	- korištenje izvora neprekidnog pisanja; - korišćenje sertifikovanog hardvera i softvera; Sigurnosna kopija podataka;	Brifing sistem administratora;
Program bookmarks	- korištenje certificiranog softvera; - korištenje antivirusne zaštite;	- brifing zaposlenih; - brifing administratora;
Korištenje tuđih registracijskih podataka za unos informacijskih usluga		- instrukcije zaposlenih; - instrukcije administratora sigurnosti;

Metode suzbijanja prijetnji navedene u tabeli biće uzete u obzir i korištene u izradi sigurnosne politike univerziteta.

2.4. Određivanje klase sigurnosti informacionog sistema

Za razvoj efikasnog sigurnosnog sistema za instituciju, potrebno je odrediti klasu sigurnosti izvornog sistema. U tu svrhu izvršena je analiza informacionog sistema i dobijeni su sljedeći rezultati:

– Sistem obrađuje informacije različitih nivoa povjerljivosti;

– Sistem obrađuje podatke klasifikovane kao „tajne“;

– Informacioni sistem je višekorisnički;

- Dozvole...

Slični dokumenti

Suština informacije, njena klasifikacija. Glavni problemi osiguranja i prijetnje informacionoj sigurnosti preduzeća. Analiza rizika i principi informacione sigurnosti preduzeća. Razvoj seta mjera za osiguranje informacione sigurnosti.

seminarski rad, dodan 17.05.2016


Analiza infrastrukture doo prodavnice "Stil". Izrada sistema informacione bezbednosti za računovodstvenu službu preduzeća na osnovu predprojektne ankete. Izrada koncepta, politike informacione sigurnosti i izbor rješenja za njeno osiguranje.

seminarski rad, dodan 17.09.2010


Strategija informacione bezbednosti preduzeća u obliku sistema efektivnih politika koje bi definisale efikasan i dovoljan skup bezbednosnih zahteva. Identifikacija prijetnji sigurnosti informacija. Interna kontrola i upravljanje rizicima.

seminarski rad, dodan 14.06.2015


Razvoj strukturnih i infoloških modela informacionog sistema državne institucije. Spisak i analiza prijetnji, objekata napada, vrste gubitaka, obim štete, izvori. Zaštita baze podataka povjerljivih informacija i razvoj sigurnosne politike.

seminarski rad, dodan 15.11.2009


Osnovni koncepti, metode i tehnologije upravljanja rizicima sigurnosti informacija. Identifikacija rizika, imovine, prijetnji, ranjivosti, postojećih kontrola, posljedica. Procjena i smanjenje rizika. Primjeri tipičnih prijetnji sigurnosti informacija.

prezentacija, dodano 04.11.2018


Regulatorni dokumenti u oblasti informacione bezbednosti u Rusiji. Analiza prijetnji informacionih sistema. Karakteristike organizacije sistema zaštite ličnih podataka klinike. Implementacija sistema autentifikacije pomoću elektronskih ključeva.

rad, dodato 31.10.2016


Karakteristike informacionih resursa poljoprivrednog gazdinstva "Ašatli". Prijetnje sigurnosti informacija specifične za preduzeće. Mjere, metode i sredstva zaštite informacija. Analiza nedostataka postojećeg i prednosti ažuriranog sigurnosnog sistema.

seminarski rad, dodan 03.02.2011


Pojam, značenje i pravci informacione sigurnosti. Sistematski pristup organizovanju bezbednosti informacija, zaštita informacija od neovlašćenog pristupa. Sredstva zaštite informacija. Metode i sistemi informacione sigurnosti.

sažetak, dodan 15.11.2011


Analiza rizika sigurnosti informacija. Identifikacija ranjivosti imovine. Procjena postojećih i planiranih sredstava zaštite. Skup projektovanih pravnih, organizacionih i administrativnih sredstava za osiguranje informacione sigurnosti.

teze, dodato 03.04.2013


Razvoj informacionog sistema univerziteta metodom objektno orijentisanog modeliranja UML. Analiza sistemskih zahtjeva. Konceptualni (sadržajni) model. Dijagram komponenti i klasa. Softverska implementacija aplikacije.

A.V. VOLKOV
sistem administrator Saratovskog državnog društveno-ekonomskog univerziteta

Univerziteti su odigrali ključnu ulogu u razvoju računarske tehnologije i softvera. Razvijaju, testiraju i implementiraju napredne IT projekte. Sa porastom sajber kriminala, zaštita povjerljivih informacija i razvoja u obrazovnim institucijama postaje posebno relevantna.

Računovodstvo za specifičnosti

Univerziteti su infrastruktura koja ima ogromnu banku podataka koja sadrži informacije drugačije prirode. Ovo nisu samo priručnici za obuku u elektronskom obliku, već i važni razvoji dizajna i istraživanja. Rast kriminala u oblasti visokih tehnologija diktira sopstvene zahteve za zaštitom resursa računarskih mreža obrazovnih institucija i postavlja zadatak izgradnje sopstvenog integrisanog sistema bezbednosti. Njegovo rešenje podrazumeva postojanje regulatornog okvira, formiranje koncepta bezbednosti, izradu mera, planova i procedura za bezbedan rad, projektovanje, implementaciju i održavanje tehničkih sredstava zaštite informacija (ISP) u okviru obrazovnog sistema. institucija. Ove komponente definiraju jedinstvenu politiku sigurnosti informacija na univerzitetu.

Specifičnost zaštite informacija u obrazovnom sistemu leži u činjenici da je univerzitet javna ustanova sa nestalnom publikom, kao i mjesto pojačane aktivnosti „sajber kriminalaca početnika“. Glavna grupa potencijalnih prekršilaca ovdje su studenti, neki od njih imaju prilično visok nivo znanja o računarima i mrežama. Dob - od 18 do 23 godine - i mladalački maksimalizam ohrabruju takve ljude da pokažu svoje znanje pred kolegama studentima: organizuju virusnu epidemiju, dobiju administrativni pristup i "kazne" nastavnika blokiranjem pristupa internetu. Dovoljno je prisjetiti se da su prvi kompjuterski prijestupi rođeni na univerzitetu (Morisov crv).

Učenici imaju pristup samo kompjuterskim učionicama, a unutrašnja prijetnja dolazi od njih. Rad učenika i nastavnika u takvim učionicama treba regulisati naredbom (aktom) uprave. Kako bi se izbjeglo unošenje zlonamjernih informacija u internu mrežu, poželjno je da računari nemaju disk drajvove i da su usb portovi onemogućeni.

Analiza prijetnji, njihovih izvora i rizika

Kompjuterske mreže obrazovnih institucija su skup mrežnih resursa za obrazovne aktivnosti, radnih stanica osoblja, uređaja za funkcionisanje mreže u cjelini.

Izvori mogućih prijetnji informacijama su: kompjuterizovane učionice u kojima se odvija obrazovni proces;

• Internet;
• radne stanice univerzitetskih radnika nekvalifikovanih u oblasti informacione bezbednosti.

Analiza rizika informacija može se podijeliti u sljedeće faze:

• klasifikacija objekata koji se štite prema njihovoj važnosti;
• utvrđivanje atraktivnosti objekata zaštite za krekere;
• identifikacija mogućih prijetnji i mogućih kanala pristupa objektima;
• procjena postojećih mjera sigurnosti;
• identifikaciju odbrambenih ranjivosti i načina za njihovo otklanjanje;
• sastavljanje rangirane liste prijetnji;
• procjena štete od neovlaštenog pristupa, napada uskraćivanja usluge, kvarova opreme.

Glavni objekti kojima je potrebna zaštita od neovlaštenog pristupa:

• računovodstveni LAN, podaci plansko-finansijskog odjela, kao i statistički i arhivski podaci;
• serveri baze podataka;
• konzola za upravljanje računom;
• www/ftp serveri;
• LAN i serveri za istraživačke projekte.

Pravilnik o radu

Za autentifikaciju korisnika na radnim stanicama nastavnog osoblja, kompjuterima u učionicama može se koristiti kontrola pristupa zasnovana na ulogama (RAC). Suština tehnologije je stvaranje određene "uloge koja povezuje korisnika i njegove privilegije u sistemu. Uz pomoć nje možete efikasno izgraditi fleksibilnu politiku kontrole pristupa u višekorisničkom sistemu.

RUD značajno olakšava administraciju višekorisničkih sistema uspostavljanjem veza između "uloga" i korisnika. Za svakog korisnika može se aktivirati nekoliko "uloga" odjednom, koje se mogu istovremeno dodijeliti više korisnika odjednom.

Korišćenje mrežnog operativnog sistema Novell Netware omogućava vam da centralno upravljate procesom identifikacije korisnika u zajedničkoj univerzitetskoj mreži, pratite njihove akcije i ograničavate pristup resursima. Alati za sigurnost informacija (ISZ) su već ugrađeni u ovaj OS na osnovnim nivoima i nisu dodatak u obliku bilo koje aplikacije.

Novell NetWare OS sadrži sljedeće nivoe sigurnosnih mehanizama:

• zaštita korisničkih informacija;
• zaštita lozinkom;
• zaštita imenika;
• zaštita datoteka;
• firewall zaštita.

Za svakog korisnika registrovanog u ovom OS-u postoje pravila koja ukazuju na listu resursa kojima ima pristup, prava za rad s njima. Da pomognete administratoru, koristite Konzolu za upravljanje nalogom. Moguće je ograničiti pravo korisnika na ulazak u mrežu prema vremenu, datumu i određenim radnim stanicama. ACL-ovi i takozvani konteksti se koriste kao sistem kontrole pristupa. Za svaki kontekst definira se lista dostupnih mrežnih resursa. Ovo vam omogućava da dijelite pristup resursima između administracije, univerzitetskog osoblja i studenata. Osim toga, možete postaviti dodatne grupne politike unutar određenog konteksta (na primjer, podijeliti pristup kontekstu učenika po odjelu bez korištenja podkonteksta). Ugrađeni alati za otkrivanje i prevenciju napada omogućavaju vam da brzo identifikujete uljeza.

Često je bežična mreža raspoređena u kampusu univerziteta, pristup kojoj je obično besplatan. Vrijedi koristiti takvu šemu kada bežične pristupne tačke nisu povezane na internu mrežu univerziteta. Komunikacija sa Internetom se u pravilu odvija istovremeno kroz više komunikacionih linija (fiber-optička kičma, satelitski i radio kanali). Za komunikaciju sa drugim univerzitetima ili za sigurnu razmjenu podataka predviđeni su zasebni kanali. Da bi se eliminisali rizici povezani sa curenjem i korupcijom prenesenih informacija, takve mreže ne bi trebale biti povezane na globalne mreže i opštu univerzitetsku mrežu.

Kritični čvorovi za razmjenu univerzitetskih podataka (računovodstveni LAN) također moraju postojati odvojeno.

linije odbrane

Prva linija odbrane od napada spolja (Interneta) je ruter (ruter). Koristi se za međusobno povezivanje mrežnih sekcija, kao i za efikasnije razdvajanje saobraćaja i korišćenje alternativnih puteva između mrežnih čvorova. Funkcionisanje podmreža i komunikacija sa mrežama šireg područja (WAN) zavisi od njegovih postavki. Njegova glavna sigurnosna briga je zaštita od napada distribuiranog uskraćivanja usluge (DDOS).

ITU može poslužiti kao druga granica: hardverski i softverski kompleks Cisco PIX Firewall.

Zatim dolazi DMZ. U ovoj zoni vrijedi postaviti glavni proxy server, dns server, www/ftp, mail servere. Proxy server obrađuje zahteve sa radnih stanica obrazovnog osoblja, servera koji nisu direktno povezani sa ruterom i filtrira saobraćaj. Sigurnosnu politiku na ovom nivou treba odrediti blokiranjem neželjenog saobraćaja i njegovim čuvanjem (filtriranje multimedijalnog sadržaja, iso slika, blokiranje stranica neželjenog/opscenog sadržaja po ključnim riječima). Da biste spriječili preuzimanje informacija zaraženih virusom, opravdano je na ovom serveru ugostiti antivirus (na primjer, ClamAV). Za detaljniju analizu i kontrolu saobraćaja treba koristiti IDS (kao što je Snort).

Informacije sa proxy servera se šalju paralelno sa serverom statistike, gdje možete vidjeti i analizirati aktivnosti korisnika na Internetu. Server za poštu mora imati antivirusni program za poštu, na primjer, Kaspersky AntiVirus for Mail servere.

Budući da su ovi serveri povezani direktno na globalnu mrežu, revizija softvera koji je na njima instaliran je primarni zadatak inženjera informacione sigurnosti na univerzitetu. Radi uštede i fleksibilnosti prilagođavanja, poželjno je koristiti OS i softver otvorenog koda. Najčešći operativni sistemi su FreeBSD i GNU Linux. Ali ništa vas ne sprečava da koristite konzervativniji OpenBSD ili čak ultra stabilan OS QNX u realnom vremenu.

Potražnja za antivirusnim alatima raste svake godine i nije zaobišla infrastrukturu univerziteta.

Za centralno upravljanje antivirusnim aktivnostima potreban vam je proizvod sa klijent-server arhitekturom, kao što je Dr.Web Enterprise Suite. Omogućava vam centralno upravljanje postavkama i ažuriranje antivirusnih baza podataka pomoću grafičke konzole i pruža lako čitljive statistike o aktivnostima virusa, ako ih ima.

Za veću udobnost zaposlenika univerziteta, možete organizirati pristup internoj mreži univerziteta koristeći VPN tehnologiju.