Danas, sa širokom dostupnošću interneta i brzim razvojem komunikacija, postaje vrlo uočljiv jaz između očekivanja učenika i onoga što im obrazovne institucije mogu ponuditi. Metode rada u obrazovanju moraju se stalno razvijati, prateći društvene promjene i tehnološki razvoj. Pritom, nije na posljednjem mjestu zaštita obrazovnih materijala i drugih informacija ograničenog pristupa, te same IT infrastrukture od slučajnih ili ciljanih napada.

Suvremene tehnologije informacijske sigurnosti (IS) pomažu obrazovnim ustanovama u rješavanju izazova u sljedećim glavnim područjima:

Organizacija sigurnog pristupa obrazovnim materijalima i sustavima s bilo kojeg mjesta u svijetu;

Zaštita informacija s ograničenim pristupom (osobni podaci, poslovne tajne i sl.) i zaštita intelektualnog vlasništva;

Usklađenost sa zahtjevima zakonodavstva u području informacijske sigurnosti (zaštita osobnih podataka, zaštita prava intelektualnog vlasništva, zaštita djece od negativnih informacija).

Problem #1: Različite korisničke grupe

Moderno sveučilište i njegova mreža heterogeno je okruženje u kojem se sudaraju interesi i podaci različitih korisničkih skupina. Sveučilišna mreža može sadržavati sljedeće kategorije korisnika s različitim zahtjevima za informacijsku sigurnost: studenti sveučilišta i studenti na razmjeni; učitelji i uprava; školarci koji pohađaju pripremne tečajeve prije upisa na sveučilište; posjetitelji plaćenih tečajeva i tečajeva za napredno usavršavanje koje nudi sveučilište u svrhu dobivanja dodatnih izvora prihoda, kao i predstavnici organizacija koje sveučilištu pružaju komercijalne narudžbe, na primjer, u području istraživanja i razvoja.

Izazov #2: Transformacija pristupa i koncept bilo kojeg uređaja

Kako se perimetar tradicionalne mreže sveučilišnog kampusa i dalje zamagljuje, a sveučilišno okruženje postupno gubi svoje granice, pametni telefoni, tableti, drugi terminalni uređaji i web aplikacije nepovratno mijenjaju obrazovni proces, pružajući mogućnost pristupa obrazovnim materijalima s bilo kojeg mjesta u svijetu. - iz sveučilišne učionice, hostela, stambenog prostora, kampusa, drugog sveučilišta na koje studenti odlaze razmjenjivati ​​iskustva itd. Cisco slijedi koncept bilo kojeg uređaja, čiji je cilj proširiti slobodu izbora uređaja za korisnike sveučilišnog kampusa, a istovremeno zadržati zajedničko i predvidljivo iskustvo. Sve to održava ili čak povećava razinu konkurentnosti, produktivnosti i sigurnosti obrazovne ustanove.

Istodobno, kod uvođenja koncepta "Bilo koji uređaj" javlja se niz problema IS-a koje je potrebno riješiti. U ovom slučaju morate osigurati:

Sprječavanje neovlaštenog povezivanja mrežnih pretplatničkih uređaja: stacionarnih računala (radne stanice ili radne stanice), prijenosnih računala (mobilnih radnih stanica), mobilnih uređaja (tablet računala s operativnim sustavom Android i iOS), mrežnih pisača i IP telefona na sveučilišnu mrežu;

Usklađenost sa zahtjevima i preporukama važećih politika informacijske sigurnosti, kao i mogućnost daljinskog upravljanja mobilnim uređajima spojenim na sveučilišnu mrežu radi usklađenosti s važećim politikama informacijske sigurnosti;

Osim toga, treba osigurati organizaciju logične podjele sveučilišne mreže na sigurnosne zone bez promjene postojeće infrastrukture (postojeće podjele mreže na segmente), kako bi se rasporedile zone za goste i zone ograničenog pristupa za povezivanje pretplatničkih uređaja razne skupine korisnika, kao i mobilni uređaji (tablet računala).korisnici Android i iOS).

Problem broj 3: zaštita informacijskih sustava i ograničenih informacija

Moderno sveučilište je skladište raznih informacija koje treba zaštititi. Radi se o:

Osobni podaci učenika, nastavnika, uprave i drugih kategorija korisnika;

Podaci koji predstavljaju poslovnu tajnu sveučilišta i omogućuju mu da bude ispred drugih sveučilišta u području pružanja boljeg obrazovanja i obrazovnih programa, kao i naprednijih metoda poučavanja;

Obrazovni materijali koje je razvilo sveučilište, čiji bi pristup trebao biti ograničen ili kontroliran, jer. oni su intelektualno vlasništvo;

Softver ili licence koje je nabavilo sveučilište, a čija krađa može pogoršati položaj obrazovne ustanove u konkurentskoj borbi ili povući kaznenu ili upravnu odgovornost.

Konačno, rezultati onih istraživanja i razvoja koje sveučilište može provesti na zahtjev komercijalnih ili državnih kupaca podliježu zaštiti.

Osim zaštite informacija s ograničenim pristupom, potrebno je osigurati i sigurnost informacijskih sustava obrazovnog procesa. Slučajno ili namjerno ometanje ovih sustava može poremetiti proces učenja i prekršiti ugovorne uvjete (u slučaju plaćene obuke ili provedbe raznih istraživanja i razvoja).

Problem #4: Zakonska ograničenja

Osim zaštite informacijskih sustava i informacija koje sveučilištu osiguravaju konkurentsku prednost, sustav informacijske sigurnosti trebao bi omogućiti provođenje zakonodavnih inicijativa usmjerenih na zaštitu prava i interesa različitih skupina građana i organizacija. Normativni akti kojih se sveučilište dužno pridržavati prvenstveno su:

Savezni zakon br. 139-FZ od 28. srpnja 2012. „O izmjenama i dopunama Saveznog zakona „O zaštiti djece od informacija štetnih za njihovo zdravlje i razvoj“ i određenih zakonskih akata Ruske Federacije o ograničavanju pristupa nezakonitim informacijama o Internet";

Savezni zakon od 2. srpnja 2013. br. 187-FZ "O izmjenama i dopunama zakonodavnih akata Ruske Federacije o zaštiti intelektualnih prava u informacijskim i telekomunikacijskim mrežama".

Problem #5: Sve veći broj prijetnji

Okruženje mrežnih sigurnosnih prijetnji u stalnoj je evoluciji. Vodeća mjesta u njoj zauzimaju posebno napisane, skrivene prijetnje, koje sve više mogu nadvladati tradicionalne metode i sredstva zaštite. Ove prijetnje prodiru unutar mreže - na razini jezgre, distribucijske razine i razine korisničkog pristupa, gdje su zaštita od prijetnji i vidljivost na minimalnoj razini. Odatle, ove prijetnje bez problema biraju svoje mete - određene resurse, pa čak i određene ljude na sveučilištu. Svrha suvremenih cyber prijetnji nije stjecanje slave i slave, pa čak ni stvaranje profitabilnog botneta, već otimanje i krađa intelektualnog vlasništva ili trgovačkih i drugih tajni kako bi se postigla konkurentska prednost.

Ciscova rješenja za informacijsku sigurnost

Cisco SecureX Architecture™ je sigurnosna arhitektura sljedeće generacije koja integrira fleksibilna rješenja, proizvode i usluge za stvaranje i provedbu dosljednih poslovnih politika u distribuiranoj mreži modernog sveučilišta. Cisco SecureX arhitektura integrira globalnu inteligenciju prijetnji i kontekstualnu svijest kako bi odgovorila na jedinstvene sigurnosne izazove kao što je porast visoko mobilnih korisnika, širenje mobilnih uređaja s mrežnim pristupom ili prijelaz na infrastrukture i usluge u oblaku.

Cisco SecureX zadovoljava potrebe današnjih zamagljenih mreža pružajući učinkovitu sigurnost za svakog korisnika, na bilo kojem uređaju, bilo gdje, bilo kada. Ova nova sigurnosna arhitektura koristi jezik politika više razine koji "razumije" puni kontekst situacije - tko, što, gdje, kada i kako. Zahvaljujući distribuiranoj implementaciji sigurnosnih politika, proces zaštite se približava radnom mjestu krajnjeg korisnika bilo gdje u svijetu, čime se omogućuje ne samo zaštita svakog uređaja ili korisnika, već i, ako je potrebno, lokalizacija prijetnje kao što bliže svom izvoru.

Rješenja uključena u Cisco SecureX zadovoljavaju zahtjeve ruskih državnih tijela ovlaštenih u području informacijske sigurnosti, te imaju preko 600 različitih FSTEC i FSB sigurnosnih certifikata.

Danas, sa širokom dostupnošću interneta i brzim razvojem komunikacija, postaje vrlo uočljiv jaz između očekivanja učenika i onoga što im obrazovne institucije mogu ponuditi. Metode rada u obrazovanju moraju se stalno razvijati, prateći društvene promjene i tehnološki razvoj. Pritom, nije na posljednjem mjestu zaštita obrazovnih materijala i drugih informacija ograničenog pristupa, te same IT infrastrukture od slučajnih ili ciljanih napada.

Suvremene tehnologije informacijske sigurnosti (IS) pomažu obrazovnim ustanovama u rješavanju izazova u sljedećim glavnim područjima:

Organizacija sigurnog pristupa obrazovnim materijalima i sustavima s bilo kojeg mjesta u svijetu; zaštita ograničenih podataka (osobni podaci, poslovne tajne, itd.) i zaštita intelektualnog vlasništva; usklađenost sa zahtjevima zakonodavstva u području informacijske sigurnosti (zaštita osobnih podataka, zaštita prava intelektualnog vlasništva, zaštita djece od negativnih informacija).

Problem #1: Različite korisničke grupe

Moderno sveučilište i njegova mreža heterogeno je okruženje u kojem se sudaraju interesi i podaci različitih korisničkih skupina. Sveučilišna mreža može sadržavati sljedeće kategorije korisnika s različitim zahtjevima za informacijsku sigurnost: studenti sveučilišta i studenti na razmjeni; učitelji i uprava; školarci koji pohađaju pripremne tečajeve prije upisa na sveučilište; posjetitelji plaćenih tečajeva i tečajeva za napredno usavršavanje koje nudi sveučilište u svrhu dobivanja dodatnih izvora prihoda, kao i predstavnici organizacija koje sveučilištu pružaju komercijalne narudžbe, na primjer, u području istraživanja i razvoja.

Izazov #2: Transformacija pristupa i koncept bilo kojeg uređaja

Kako se perimetar tradicionalne mreže sveučilišnog kampusa i dalje zamagljuje, a sveučilišno okruženje postupno gubi svoje granice, pametni telefoni, tableti, drugi terminalni uređaji i web aplikacije nepovratno mijenjaju obrazovni proces, pružajući mogućnost pristupa obrazovnim materijalima s bilo kojeg mjesta u svijetu. - iz sveučilišne učionice, hostela, stambenog prostora, kampusa, drugog sveučilišta na koje studenti odlaze razmjenjivati ​​iskustva itd. Cisco slijedi koncept bilo kojeg uređaja, čiji je cilj proširiti slobodu izbora uređaja za korisnike sveučilišnog kampusa, a istovremeno zadržati zajedničko i predvidljivo iskustvo. Sve to održava ili čak povećava razinu konkurentnosti, produktivnosti i sigurnosti obrazovne ustanove.

Istodobno, kod uvođenja koncepta "Bilo koji uređaj" javlja se niz problema IS-a koje je potrebno riješiti. U ovom slučaju morate osigurati:

Sprječavanje neovlaštenog povezivanja mrežnih pretplatničkih uređaja: stacionarnih računala (radne stanice ili radne stanice), prijenosnih računala (mobilnih radnih stanica), mobilnih uređaja (tablet računala s operativnim sustavom Android i iOS), mrežnih pisača i IP telefona na sveučilišnu mrežu; usklađenost sa zahtjevima i preporukama važećih politika informacijske sigurnosti, kao i mogućnost daljinskog upravljanja mobilnim uređajima spojenim na sveučilišnu mrežu radi usklađenosti s važećim politikama informacijske sigurnosti; osim toga, treba osigurati organizaciju logične podjele sveučilišne mreže na sigurnosne zone bez promjene postojeće infrastrukture (postojeće podjele mreže na segmente), kako bi se rasporedile zone za goste i zone ograničenog pristupa za povezivanje pretplatničkih uređaja razne skupine korisnika, kao i korisnici mobilnih uređaja (tablet računala s operativnim sustavom Android i iOS).

Problem broj 3: zaštita informacijskih sustava i ograničenih informacija

Moderno sveučilište je skladište raznih informacija koje treba zaštititi. Radi se o:

Osobni podaci učenika, nastavnika, uprave i drugih kategorija korisnika; podaci koji predstavljaju poslovnu tajnu sveučilišta i omogućuju mu da prednjači pred drugim sveučilištima u pružanju kvalitetnijeg obrazovanja i obrazovnih programa, kao i naprednijih metoda poučavanja; obrazovne materijale koje je razvilo sveučilište, a pristup kojima treba biti ograničen ili kontroliran, jer oni su intelektualno vlasništvo; softver ili licence koje je nabavilo sveučilište, a čija krađa može pogoršati položaj obrazovne ustanove u konkurentskoj borbi ili povući kaznenu ili upravnu odgovornost. Konačno, rezultati onih istraživanja i razvoja koje sveučilište može provesti na zahtjev komercijalnih ili državnih kupaca podliježu zaštiti.

Osim zaštite informacija s ograničenim pristupom, potrebno je osigurati i sigurnost informacijskih sustava obrazovnog procesa. Slučajno ili namjerno ometanje ovih sustava može poremetiti proces učenja i prekršiti ugovorne uvjete (u slučaju plaćene obuke ili provedbe raznih istraživanja i razvoja).

Problem #4: Zakonska ograničenja

Osim zaštite informacijskih sustava i informacija koje sveučilištu osiguravaju konkurentsku prednost, sustav informacijske sigurnosti trebao bi omogućiti provođenje zakonodavnih inicijativa usmjerenih na zaštitu prava i interesa različitih skupina građana i organizacija. Normativni akti kojih se sveučilište dužno pridržavati prvenstveno su:

Savezni zakon od 27. srpnja 2006. br. 152-FZ „O osobnim podacima”; savezni zakon od 28. srpnja 2012. br. 139-FZ „O izmjenama i dopunama Saveznog zakona „O zaštiti djece od informacija štetnih za njihovo zdravlje i razvoj“ i određenih zakonodavnih akata Ruske Federacije o pitanju ograničavanja pristupa ilegalnim informacije na Internetu”; savezni zakon od 2. srpnja 2013. br. 187-FZ "O izmjenama i dopunama zakonodavnih akata Ruske Federacije o zaštiti intelektualnih prava u informacijskim i telekomunikacijskim mrežama".

Problem #5: Sve veći broj prijetnji

Okruženje mrežnih sigurnosnih prijetnji u stalnoj je evoluciji. Vodeća mjesta u njoj zauzimaju posebno napisane, skrivene prijetnje, koje sve više mogu nadvladati tradicionalne metode i sredstva zaštite. Ove prijetnje prodiru unutar mreže - na razini jezgre, razini distribucije i razini korisničkog pristupa, gdje su zaštita od prijetnji i vidljivost minimalni. Odatle, ove prijetnje nemaju problema s odabirom svojih meta – specifičnih resursa, pa čak i određenih ljudi na sveučilištu. Svrha suvremenih cyber prijetnji nije stjecanje slave i slave, pa čak ni stvaranje profitabilnog botneta, već otimanje i krađa intelektualnog vlasništva ili trgovačkih i drugih tajni kako bi se postigla konkurentska prednost.

Ciscova rješenja za informacijsku sigurnost

Cisco SecureX Architecture™ je sigurnosna arhitektura sljedeće generacije koja kombinira fleksibilna rješenja, proizvode i usluge za oblikovanje i provedbu dosljednih poslovnih politika u distribuiranoj mreži modernog sveučilišta. Cisco SecureX arhitektura integrira globalnu inteligenciju prijetnji i kontekstualnu svijest kako bi odgovorila na jedinstvene sigurnosne izazove kao što je porast visoko mobilnih korisnika, širenje mobilnih uređaja s mrežnim pristupom ili prijelaz na infrastrukture i usluge u oblaku.

Cisco SecureX zadovoljava potrebe današnjih zamagljenih mreža pružajući učinkovitu sigurnost za svakog korisnika, na bilo kojem uređaju, bilo gdje, bilo kada. Ova nova sigurnosna arhitektura koristi jezik politika više razine koji "razumije" puni kontekst situacije - tko, što, gdje, kada i kako. Zahvaljujući distribuiranoj implementaciji sigurnosnih politika, proces zaštite se približava radnom mjestu krajnjeg korisnika bilo gdje u svijetu, čime se omogućuje ne samo zaštita svakog uređaja ili korisnika, već i, ako je potrebno, lokalizacija prijetnje kao što bliže svom izvoru.

Rješenja uključena u Cisco SecureX zadovoljavaju zahtjeve ruskih državnih tijela ovlaštenih u području informacijske sigurnosti, te imaju preko 600 različitih FSTEC i FSB sigurnosnih certifikata.

Kako biste brzo naučili o materijalima stručnjaka Cisca objavljenim na Cisco blogu. Rusija/ZND”, trebate se pretplatiti na http://gblogs.cisco.com/en.

Oznake: informacijska sigurnost, informacijska sigurnost, obrazovanje, sveučilište, Cisco SecureX arhitektura, intelektualno vlasništvo.

Pošaljite svoj dobar rad u bazu znanja jednostavno je. Koristite obrazac u nastavku

Studenti, diplomanti, mladi znanstvenici koji koriste bazu znanja u svom studiju i radu bit će vam vrlo zahvalni.

Objavljeno na http://www.allbest.ru

• UVOD
• RELEVANTNOST
• 1. PROUČAVANJE INFORMACIJSKOG SUSTAVA PODUZEĆA
• 1.1. Opis poduzeća
• 1.2. Kompozicija hardvera i softvera te struktura mreže
• 1.3. Analiza tokova informacija
• 1.4. Analiza informacijskih izvora
• 1.5. Fizičko osiguranje objekata (zaštita)
• 2. ANALIZA I RAZVOJ MODELA PRIJETNJI
• 2.1. Klasifikacija i analiza izvora prijetnji i sigurnosnih ranjivosti
• 2.2. Model uljeza
• 2.3. Utvrđivanje stvarnih prijetnji informacijskom sustavu
• 2.4. Određivanje klase sigurnosti informacijskog sustava
• 3. RAZVOJ MODELA SUSTAVA INFORMACIJSKE SIGURNOSTI
• 3.1. Analiza usklađenosti sa standardima i postojećim politikama
• 3.2. Razvoj politike informacijske sigurnosti
• 4. RAZVOJ PORTALA PRIMARNE ODOBRENOSTI
• 4.2. Zahtjevi za funkcionalnost portala
• 4.3. Razvoj portala
• ZAKLJUČAK
• BIBLIOGRAFIJA
• PRIMJENA

UVOD

Osiguranje sigurnosti informacijskih resursa već je dugo predmet rasprava u mnogim institucijama, a uz razvoj informacijske tehnologije to je dovelo do razvoja automatiziranih sustava. Učinkovit sustav informacijske sigurnosti omogućuje minimiziranje rizika povezanih s informacijama i doprinosi stabilnom radu protoka informacija poduzeća.

Sigurnost javnih institucija, poput visokoškolskih ustanova, također zahtijeva visoku razinu informacijske sigurnosti.

Informacijska sredstva sveučilišta čine ogromnu količinu informacija o obrazovnim aktivnostima, aktivnostima zaposlenika s različitim razinama pristupa. Zaposlenici i studenti sveučilišta također su izvrstan primjer pojedinaca s različitim pravima pristupa informacijama. Stoga je odlučeno razviti učinkovit skup mjera za osiguranje informacijske sigurnosti sveučilišta.

Svrha diplomskog rada je razviti skup mjera usmjerenih na osiguranje informacijske sigurnosti sveučilišta na primjeru Nižnji Novgorodskog državnog sveučilišta za arhitekturu i građevinarstvo. sigurnost informacijskih prijetnji

Predmet istraživanja u diplomskom radu je sustav zaštite informacijske sigurnosti Nižnji Novgorodskog državnog sveučilišta za arhitekturu i građevinarstvo.

Diplomski rad se sastoji od četiri poglavlja. U prvom poglavlju dan je opis informacijskog sustava organizacije, analiza informacijskih resursa i tehničkih sredstava. U drugom poglavlju analiziraju se potencijalne prijetnje sustavu i definira model uljeza. U trećem poglavlju razvija se politika informacijske sigurnosti. Četvrto poglavlje u obliku pojašnjenja sadrži proces implementacije primarnog autorizacijskog portala.

RELEVANTNOST

U današnjem stupnju razvoja društva informacijska tehnologija je njegov sastavni dio. Informacija je postala jedno od glavnih sredstava društveno-ekonomskog, tehničkog i znanstvenog napretka svjetske zajednice. Razvoj informacijskih tehnologija i širenje informacijskog prostora dovodi do sve većeg broja napada i povreda u ovom području, što probleme informacijske sigurnosti čini sve aktualnijima. Informacijska sigurnost shvaćena je kao stanje zaštite informacija i infrastrukture koja ih podržava od slučajnih ili namjernih utjecaja prirodne ili umjetne prirode koji mogu naštetiti vlasnicima ili korisnicima informacija.

Osiguranje informacijske sigurnosti jedan je od ključnih čimbenika za stabilno funkcioniranje svakog poduzeća. Danas je povjerljivost, cjelovitost i dostupnost informacija važan aspekt kontinuiteta poslovanja pa se sve veći broj organizacija fokusira na pitanje informacijske sigurnosti. Stoga postoji potreba za učinkovitim i integriranim sustavom informacijske sigurnosti.

Vrlo često, prilikom izrade informacijskog sustava, organizacije nastoje osigurati svoju informacijsku imovinu samo na hardverskoj i softverskoj razini zaštite. Ali ova razina sigurnosti je neučinkovita i mora biti potkrijepljena pravilima i propisima o informacijskoj sigurnosti.

Priprema i implementacija sigurnosnog sustava u instituciji treba se provoditi na temelju postojeće zakonske regulative i regulatornih zahtjeva u području informacijske sigurnosti. Glavni dokument je Ustav Ruske Federacije, prema kojem "nije dopušteno prikupljanje, pohranjivanje, korištenje i širenje podataka o privatnom životu osobe bez njezina pristanka".

Drugi temeljni dokumenti u području informacijske sigurnosti su Savezni zakon od 27. srpnja 2006. br. 149-FZ „O informacijama, informacijskim tehnologijama i zaštiti informacija”, prema kojem je potrebno zaštititi informacije od neovlaštenog pristupa, izmjene, uništavanja. , kopiranje i distribucija podataka . Savezni zakon br. 152-FZ od 27. srpnja 2006. „O osobnim podacima” regulira radnje povezane s obradom osobnih podataka od strane državnih institucija pomoću automatiziranih sustava.

Također biste trebali uzeti u obzir zakon Ruske Federacije "O državnim tajnama" i zakon Ruske Federacije "O poslovnim tajnama", koji uređuje postupak klasificiranja podataka kao službene tajne, režim službene tajne i postupak za iznošenje službenih podataka. Postoji i niz zakona u skladu s kojima se određuju stupnjevi povjerljivosti podataka („O odobrenju Popisa podataka povjerljive prirode“; „O odobrenju Popisa podataka klasificiranih kao državna tajna“; „O suglasnost na Popis podataka koji ne mogu biti poslovna tajna).

Općenito, zakonodavni RF-ovi ne uzimaju u obzir i ne reguliraju u potpunosti pohranjivanje i korištenje povjerljivih podataka.

Standardi i specifikacije su glavni propisi za osiguranje sigurnosti na proceduralnoj i hardversko-softverskoj razini. Ovo su dokumenti koji sadrže provjerene, visokokvalitetne sigurnosne metodologije i alate.

U skladu sa standardima, osiguranje sigurnosti objekata informacijskog sustava trebalo bi se sastojati od sljedećih koraka:

- raspodjelu ciljeva za osiguranje informacijske sigurnosti;

– projektiranje učinkovitog sustava upravljanja;

– analizu i ocjenu usklađenosti s postavljenim ciljevima;

– analiza početnog stanja sigurnosti;

ISO 15408: Zajednički kriteriji za procjenu sigurnosti informacijske tehnologije (Zajednički kriteriji za procjenu sigurnosti informacijske tehnologije) sadrži najopsežnije kriterije za sigurnost softvera i hardvera. Opći kriteriji utvrđuju zahtjeve za sigurnosnu funkcionalnost. Uz hardversko-softversku razinu zaštite, standard opisuje neke zahtjeve za sigurnosne metode na organizacijskoj razini i fizičku zaštitu. Standard se sastoji od tri dijela:

- prvi dio obuhvaća konceptualni aparat, prikaz modela i metodologiju procjene sigurnosti informacijskih tehnologija;

– drugi dio sadrži izravno zahtjeve za funkcionalnost hardvera i softvera;

– treći dio sadrži zahtjeve sigurnosnih jamstava;

ISO 17799: Kodeks prakse za upravljanje sigurnošću informacija pruža najopsežnije kriterije organizacijske razine.

Standard sadrži najučinkovitija pravila upravljanja sigurnošću informacija i kriterije za procjenu sigurnosnih praksi na organizacijskoj razini, uzimajući u obzir administrativnu, proceduralnu i fizičku zaštitu. Standard sadrži sljedeće odjeljke:

- Sigurnosna politika;

– organizacija informacijske sigurnosti;

- upravljanje resursima;

– sigurnost ljudskih resursa;

- fizičko osiguranje;

- kontrola pristupa;

– administracija informacijskih sustava;

– razvoj i održavanje informacijskih sustava;

– planiranje kontinuiranog rada;

– kontrolu ispunjavanja sigurnosnih zahtjeva;

Vodeći dokument Državne tehničke komisije Ruske Federacije "Kriteriji za procjenu sigurnosti informacijskih tehnologija." Ovaj dokument je razvijen u skladu s GOST R ISO/IEC 15408-2002 i osigurava njegovu praktičnu upotrebu. Glavni cilj RD-a je implementacija integriranih metoda za osiguranje sigurnosti informacijskih sustava i korištenje potrebnih funkcionalnosti. Cilj mu je dizajnirati sigurnosne sustave koji odgovaraju mogućim prijetnjama i održavanju ravnoteže između učinkovitosti i troškova.

Vodeći dokument Državne tehničke komisije Ruske Federacije „Automatizirani sustavi. Zaštita od neovlaštenog pristupa informacijama. Klasifikacija automatiziranih sustava i zahtjevi za zaštitu informacija”. Ovaj RD definira klasifikaciju AU i, u skladu s klasom, utvrđuje zahtjeve za moguće podsustave.

Vodeći dokument Državne tehničke komisije Ruske Federacije „Računalni uređaji. Vatrozidi. Zaštita od neovlaštenog pristupa informacijama. Pokazatelji sigurnosti od neovlaštenog pristupa informacijama. Prvi RD, koji nema stranih analoga. Glavna ideja ovog RD-a je klasifikacija vatrozida u skladu s OSI mrežnim modelom, koji filtrira tokove podataka.

Do danas je u području implementacije sigurnosnih sustava formiran takav koncept kao "najbolja praksa". "Najbolje prakse" su one sigurnosne politike koje odražavaju najbolje sigurnosne postupke, alate, smjernice i standarde i mogu se koristiti kao mjerilo za razvoj sigurnosnog sustava. Politike tvrtki kao što su Microsoft, IBM, Symantec itd. smatraju se referentnim.

1. Politika tvrtke Symantec

Stručnjaci iz Symanteca kažu da su osnova učinkovitog sigurnosnog sustava dokumenti smjernice, koji uključuju: sigurnosne politike, međunarodne standarde, opise sigurnosnih procedura i metrike. Svi ovi dokumenti sa smjernicama mogu odgovoriti na tri glavna pitanja:

Zašto je važno zaštititi podatke?

Što treba učiniti kako bi se osigurala sigurnost?

Kako provesti politiku prema potrebi?

Razvoj integriranog sigurnosnog sustava trebao bi uključivati ​​sljedeće korake:

– analiza informacijske imovine;

– identifikaciju mogućih prijetnji;

– analiza i procjena sigurnosnih rizika;

– imenovanje osoba odgovornih za osiguranje sigurnosti;

– stvaranje integriranog sustava, u skladu sa standardima, smjernicama i procedurama;

– upravljanje sigurnosnim sustavom;

2. Microsoftova politika

Microsoftova strategija informacijske politike ima četiri glavne komponente:

– svrhu osiguranja informacijske sigurnosti poduzeća;

– sigurnosni standardi sustava

– shema donošenja odluka (na temelju rezultata analize rizika);

– određivanje radnji za minimiziranje rizika;

Proces razvoja sigurnosne politike podijeljen je u četiri kategorije:

- organizacijske (usmjerene na podizanje svijesti i širenje znanja zaposlenika u području informacijske sigurnosti, kao i podršku menadžmentu);

– podaci i korisnici (uključuje sredstva zaštite kao što su: autorizacija, zaštita osobnih podataka, autentifikacija);

– razvoj sustava (projektiranje sigurnog sustava, smanjenje površine napada, osiguranje jednostavnosti korištenja);

– podrška (redoviti nadzor i logiranje sustava, odgovor na incidente i incidente);

Za održavanje razine sigurnosti tvrtka primjenjuje kontrolu informacijskog rizika (identifikacija, procjena i minimizacija rizika). Ovaj pristup omogućuje postizanje ravnoteže između zahtjeva i načina zaštite.

3. IBM politika

IBM-ovi stručnjaci razlikuju četiri glavne faze izgradnje sigurnosnog sustava:

– prepoznavanje informacijskih rizika i metode postupanja s njima;

– opis mjera zaštite imovine u skladu s ciljevima i ciljevima društva;

– opis postupanja u slučaju incidenata;

– analiza preostalih rizika i odluka o dodatnom ulaganju u sigurnosne metode;

Odgovor na pitanje "Što treba zaštititi?" - glavni aspekt politike informacijske sigurnosti, u skladu sa strategijom IBM-a. Politiku treba kreirati s ciljem minimalnih promjena u budućnosti. Učinkovita sigurnosna politika treba sadržavati:

– ciljeve i zadatke osiguranja informacijske sigurnosti;

– interakcija sa sigurnosnim standardima i zakonodavstvom;

– proširivanje znanja o pitanjima informacijske sigurnosti;

- otkrivanje i uklanjanje virusnih napada;

– osiguranje kontinuiteta poslovanja;

– utvrđivanje uloga i odgovornosti osoblja;

– evidentiranje sigurnosnih incidenata;

Slijedi proces izrade dokumentacije koja sadrži pravila za analizu rizika poduzeća, opis preporučenih metoda i sredstava zaštite i sl. Dokumentacija može biti podložna promjenama u skladu s trenutnim ranjivostima i prijetnjama.

Međutim, osim zakonskog okvira, sustav informacijske sigurnosti i njegove funkcije za osiguranje stanja sigurnosti objekta moraju se provoditi u skladu sa sljedećim načelima:

- legitimnost (stvaranje sustava informacijske sigurnosti, kao i provedba mjera zaštite koje nisu u suprotnosti sa zakonom i propisima);

– složenost (razvijeni sustav zaštite omogućuje složenu implementaciju metoda, osigurava zaštitu informacijskih resursa na tehničkoj i organizacijskoj razini te sprječava moguće načine implementacije prijetnji);

– postojanost (osigurava kontinuiranu zaštitu objekata);

- progresivnost (podrazumijeva kontinuirani razvoj sredstava i metoda zaštite, u skladu s razvojem tehnologija i metoda napada);

– racionalnost (korištenje isplativih i učinkovitih sredstava zaštite);

- odgovornost (svaki zaposlenik jamči sigurnost unutar svoje ovlasti);

– kontrola (podrazumijeva stalno praćenje zaštite i pravovremeno otkrivanje prijetnji);

– korištenje postojećeg sigurnosnog sustava (projektirani sustav nastaje na temelju postojećeg sustava uz korištenje standardnog hardvera i softvera);

- korištenje hardverskih i programskih komponenti zaštite domaće proizvodnje (projektom sigurnosnog sustava predviđena je prevlast domaćih tehničkih sredstava zaštite);

- faznost (poželjno je projektirati sigurnosni sustav u fazama);

Nakon analize postojećih politika i standarda informacijske sigurnosti, može se tvrditi da je potreban niz mjera kako bi se osigurala odgovarajuća razina zaštite informacija, uključujući softverske funkcije, sigurnosne politike, metode i organizacijske strukture. U skladu s tim i glavnim ciljem, potrebno je izvršiti sljedeće zadatke:

– proučiti početnu informacijsku i organizacijsku strukturu Državnog sveučilišta za arhitekturu i građevinarstvo u Nižnjem Novgorodu;

- na temelju rezultata analize inicijalnog informacijskog sustava utvrditi specifične prijetnje i ranjivosti informacijske sigurnosti;

– odrediti razinu i klasu početne sigurnosti objekta;

– identificirati trenutne prijetnje;

- izraditi maketu uljeza;

– usporediti izvorni sustav sa zahtjevima sigurnosnih standarda;

– razviti sigurnosnu politiku i definirati radnje za osiguranje informacijske sigurnosti;

Ispunjenje gore navedenih ciljeva i zadataka omogućit će stvaranje učinkovitog sustava informacijske sigurnosti poduzeća koji ispunjava zahtjeve zakonodavstva i standarda informacijske sigurnosti.

1. PROUČAVANJE INFORMACIJSKOG SUSTAVA PODUZEĆA

1.1. Opis poduzeća

Puni naziv organizacije : Savezna državna proračunska obrazovna ustanova visokog stručnog obrazovanja "Nižnji Novgorod Državno sveučilište za arhitekturu i građevinarstvo".

Skraćeni nazivi: NNGASU, Nizhny Novgorod State University of Architecture and Civil Engineering.

Puni naziv na engleskom jeziku: Nizhny Novgorod State University of Architecture and Civil Engineering.

Skraćeni naziv na engleskom jeziku: NNGASU.

Lokacija sveučilišta: 603950, regija Nižnji Novgorod, Nižnji Novgorod, ul. Iljinskaja, 65.

Osnivač sveučilišta je Ruska Federacija. Funkcije i ovlasti osnivača sveučilišta obavlja Ministarstvo obrazovanja i znanosti Ruske Federacije.

Mjesto Osnivača: 125993, Moskva, ul. Tverskaja, 11.

Rektor - Andrej Aleksandrovič Lapšin

FSBEI HPE "Nižnji Novgorod Državno sveučilište za arhitekturu i građevinarstvo" je neprofitna organizacija stvorena za razvoj gospodarstva i društvenog okruženja regije, industrije i Rusije poboljšanjem razine obrazovanja studenata na temelju dostignuća znanosti, inovacija i tehnologije.

Glavne aktivnosti Savezne državne proračunske obrazovne ustanove visokog stručnog obrazovanja "Nižnji Novgorod Državno sveučilište za arhitekturu i građevinarstvo":

· Priprema konkurentnih, na ruskom i međunarodnom tržištu rada, stručnjaka u građevinarstvu i srodnim industrijama, na temelju suvremenih obrazovnih standarda i znanstvenog istraživanja;

· Osigurati uključivanje znanstvenog potencijala sposobnog konkurencije u realne sektore gospodarstva zemlje;

· Stvaranje i poboljšanje uvjeta potrebnih za samoostvarenje, kao i profesionalni razvoj zaposlenika i studenata;

· Razvoj međusveučilišne suradnje na ruskoj i međunarodnoj razini i jačanje položaja u međunarodnoj areni;

Opće upravljanje Sveučilištem provodi Znanstveno vijeće u koje ulaze: rektor (predsjedatelj Znanstvenoga vijeća), prorektori, dekani fakulteta (odlukom Znanstvenoga vijeća). Također, organizacijska struktura sveučilišta uključuje odjele, centre, odjele i druge odjele. Detaljna organizacijska struktura prikazana je na slici 1.

Slika 1. Organizacijska struktura Državnog sveučilišta za arhitekturu i građevinarstvo u Nižnjem Novgorodu

Državno sveučilište za arhitekturu i građevinarstvo u Nižnjem Novgorodu, sa strukturom koja se kontinuirano razvija i moderniziranom obrazovnom i znanstvenom bazom, u suvremenim je uvjetima kompleks koji se aktivno razvija. Sveučilište ima veliku informacijsku bazu koja je sadržana u specijaliziranim programskim proizvodima. Informacijska zaštita institucije prikazana je na prilično visokoj razini, ali u okviru stalno napredujućih napada i kršenja potrebno ju je unaprijediti.

1.2 Sastav hardvera i softvera te struktura mreže

Obrazovni proces u NNGASU prati značajna informacijska baza, razvoj računalnog parka i uvođenje moderniziranih informacijskih sustava u obrazovni proces. Za osiguranje obrazovnog procesa svi odjeli i odjeli opremljeni su osobnim računalima i potrebnom opremom. Za rješavanje problema u području primjene suvremenih informacijskih tehnologija na Sveučilištu je opremljeno 8 računalnih učionica. Sva osobna računala sveučilišta opremljena su licenciranim Microsoftovim softverom i antivirusnom zaštitom. Sav hardver prikazan je u tablici 1.

Tablica 1. Sastav hardvera

Danas sveučilište posvećuje pažnju informatizaciji obrazovnog procesa. Za optimizaciju obrazovnih aktivnosti, Sveučilište posjeduje sve potrebne suvremene programske pakete. Tablica 2 navodi softver koji se koristi u NNGASU.

Tablica 2. Softver

			Naziv softverskog proizvoda
	MS Windows poslužitelj
	MS Visual Studio
			Aros - Vođa
			1C Enterprise
	Borland Developer Studio
	macromedia dreamviewer
			Panoramska GIS karta
			SITHIS: Solaris.
			Gosstroysmet
			Velika procjena
			POSLOVANJE - poduzeće

Sva računala sveučilišta povezana su u lokalnu mrežu i imaju pristup internetu putem sigurne veze. Optički linijski čvorovi opremljeni su upravljanim sklopkama. Kako bi se omogućio stalni pristup internetu, sustav je opremljen vezom s dva provajdera koji pružaju kanale brzine 20 Mbps i 10 Mbps. Prilikom pokušaja preuzimanja informacija koje nisu vezane uz obrazovni proces, promet korisnika postaje ograničen. Na programskoj razini zaštite koriste se različite domene za studente i zaposlenike.

Za prijenos paketa između mrežnih segmenata koristi se MicroTic usmjerivač koji vam omogućuje raspodjelu opterećenja bez gubitka podataka. Kroz njega prolaze WAN paketi, udaljene korisničke stranice i paketi sustava NauDoc.

Struktura mreže opremljena je s jedanaest fizičkih poslužitelja, od kojih su četiri virtualne strojne stanice. Na ovim mrežnim elementima instalirani su informacijski i referentni materijali, poslužitelji baza podataka, kao i mail poslužitelji i stranice. Ustanova ima 14 virtualnih poslužitelja s pristupom globalnoj mreži. Glavni poslužitelj s kojeg cure sve informacije je Nginx. Nginx je web poslužitelj, proxy za poštu i TCP proxy. Ovaj poslužitelj prima dolazne podatke na portu 80, a tek onda ih usmjerava na potrebne poslužitelje (Ubuntu, Suse, CentOS, Win2008_IIS, Win7). Struktura sveučilišne mreže prikazana je na slici 2.

Slika 2. Mrežna struktura FSBEI HPE "Nižnji Novgorod Državno sveučilište za arhitekturu i građevinarstvo"

Demilitarizirana zona, računalne učionice, ViPNet i samo sveučilište, svaki od ovih elemenata uključen je u zasebne virtualne lokalne mreže (VLAN), čime se smanjuje opterećenje mrežnih uređaja (promet s jedne domene ne ide na drugu domenu). Također, ova tehnologija omogućuje isključivanje neovlaštenog pristupa, jer. preklopnik prekida pakete s drugih virtualnih mreža.

Budući da ustanova koristi usluge dva pružatelja, postoji potreba za nesmetanim radom Interneta pri prelasku s glavnog na rezervni kanal. Programski paket Squid koristi se kao proxy poslužitelj za predmemoriju. Glavni zadaci Lignje unutar ove institucije:

– Prilikom posjećivanja istih stranica one se pohranjuju u predmemoriju, a dio podataka dolazi izravno s poslužitelja;

– Mogućnost praćenja posjećenih stranica i preuzetih datoteka od strane administratora sustava;

– Blokiranje određenih stranica;

– Raspodjela opterećenja između kanala;

Institucija koristi Microsoft Forefront Threat Management Gateway kao drugi vatrozid. U Microsoft Forefront kompleksu pruža visoku razinu sigurnosti i omogućuje vam upravljanje sigurnošću mrežne strukture. Konkretno, Microsoft Forefront TMG je proxy poslužitelj koji vam omogućuje zaštitu od vanjskih napada, kontrolu prometa te primanje i prosljeđivanje dolaznih paketa.

Ustanova koristi ViPNet tehnologiju za interakciju s Ministarstvom obrazovanja i znanosti Ruske Federacije. ViPNet pruža zaštitu u velikim mrežama i stvara sigurno okruženje za prijenos informacija s ograničenim pristupom putem javnih komunikacijskih kanala kroz implementaciju virtualne privatne mreže (VPN).

U suvremenoj korporativnoj infrastrukturi postoji potreba za centraliziranim upravljanjem i hardverskom virtualizacijom lokalne mreže. U tu svrhu sveučilište koristi Microsoft Hyper-V sustav koji administratoru sustava unutar korporativnog sustava omogućuje rješavanje nekoliko problema:

– povećanje razine sigurnosti;

– zaštita informacijskih izvora;

– centralizirano skladištenje podataka;

– skalabilnost;

1.3 Analiza protoka informacija

Sveučilišni informacijski resursi kruže kako unutar sustava tako i vanjskim kanalima. Za osiguranje zaštite i uređenosti informacija, Sveučilište koristi suvremene informacijske sustave različitih vrsta.

Najznačajniji i najobimniji je Tandem e-Learning - sveobuhvatni informacijski sustav koji omogućuje praćenje redovnog obrazovanja i implementira obrazovanje na daljinu kao jedan od moderniziranih pristupa e-učenju. Tandem e-Learning je zatvoreni obrazovni portal, kojem pristupaju sveučilišni djelatnici i studenti registracijom. Pristup sustavu moguć je kako s internih računala tako i s vanjskih uređaja.

Drugi sustav učenja na daljinu je Moodle. Ovaj portal je također privatan i zahtijeva registraciju. Baš kao i Tandem, Moodleu se može pristupiti s vanjskih uređaja.

Oba portala temelje se na Sustavu za upravljanje obrazovanjem (LMS). LMS vam omogućuje upravljanje i distribuciju obrazovnog materijala te omogućava dijeljenje.

Korporativni informacijski sustav implementiran je kroz sustav Tandem University, na kojem se nalaze informacije o obrazovnom procesu. Studenti, osoblje i viši menadžment imaju pristup Tandem sustavu. Zaštita ovog sustava je osigurana činjenicom da je izoliran i nema pristup lokalnoj mreži. Svi resursi korporativne mreže smješteni su na četiri poslužitelja, od kojih dva sadrže bazu podataka i glavni portal te dva testna poslužitelja.

Protok dokumenata na sveučilištu odvija se kroz sustav NauDoc. Ovo je sustav za upravljanje dokumentima u oblaku za evidentiranje, obradu i računovodstvo dokumenata unutar ustanove. Pristup sustavu imaju sveučilišni referati, podružnice i dolazne organizacije.

Sadržaj web stranice sveučilišta kontrolira profesionalni sustav upravljanja 1C - Bitrix. Prednost ovog sustava je što može povećati brzinu odziva stranice.

Računovodstvo se servisira putem automatiziranog obradnog sustava „PARUS – Računovodstvo“. Ovaj softverski paket omogućuje vam potpunu automatizaciju računovodstva imovine, naselja i sredstava. Kao i korporativni sustav Tandem Sveučilišta, "PARUS - Računovodstvo" je izoliran, te mu pristup imaju samo djelatnici računovodstvenog odjela.

Sveučilišna knjižnica također je automatizirana i upravljana putem informacijsko-knjižničkog sustava MARK – SQL. Ovaj sustav sadrži veliki broj informacijskih izvora, uključujući i katalog informacija, koji je pohranjen na posebnom Windows poslužitelju.

Također, neki od resursa sadržani su u sljedećim informacijskim sustavima:

– Konzultant+ (referenca - pravni sustav);

– TechExpert (informacijsko-referentni sustav koji sadrži regulatorne, pravne i tehničke informacije iz područja „Business for business“);

– Norma CS (referentni sustav za pretraživanje i korištenje normi i propisa u projektantskoj djelatnosti);

– OTRS (sustav za obradu zahtjeva);

– RedMine (interna baza);

– AIST (kadrovska služba);

1.4 Analiza izvora informacija

Informacijski sustav Državnog sveučilišta za arhitekturu i građevinarstvo u Nižnjem Novgorodu sadrži ogromnu količinu informacijskih resursa (baze podataka, dokumentacija, osobni podaci, arhivi, knjižnice), koji su zauzvrat glavni predmet zaštite. Preporučljivo je uvesti nekoliko razina povjerljivosti podataka:

Ograničene informacije:

- službena tajna - podaci koji sadrže podatke o financijama, proizvodnji, upravljanju i drugim aktivnostima subjekta, čije otkrivanje može uzrokovati gospodarsku štetu;

– Profesionalna tajna – podaci koji sadrže organizaciju obrazovnih aktivnosti i procesa.

– Osobni podaci - svaka informacija koja sadrži informacije o određenoj osobi (podaci o studentima, nastavnicima i sl.);

Dijeljene informacije:

- Uredbe, dekreti, naredbe;

– Informacije koje sadrže statističke podatke o obrazovnim aktivnostima;

– Informacije čiji pristup nije ograničen zakonom i poveljom;

1.5 Fizička sigurnost objekata (sigurnost)

Objekt je pod 24-satnim nadzorom stražarske službe. Ulaz na područje sveučilišta obavlja se s osobnim propusnicama. Posjetitelji imaju pravo ući na teritorij samo u pratnji zaposlenika ustanove. Sveučilište je implementiralo protupožarni i protuprovalni alarm te ugradilo odgovarajuće senzore. Hardver za pohranu informacija (serveri) nalazi se u posebnoj prostoriji. Objekt se nadzire putem sustava video nadzora.

Glavni objekti zaštite uključuju:

– poslužitelji baze podataka;

– stanica za upravljanje računima;

– ftp i www - poslužitelji;

– LAN računovodstvo, itd.;

– Podaci iz arhiva, financijskih, statističkih i prosvjetnih odjela;

– Vanjski i interni informacijski izvori;

2. ANALIZA I RAZVOJ MODELA PRIJETNJI

2.1 Klasifikacija i analiza izvora prijetnji i sigurnosnih ranjivosti

U informacijskoj sigurnosti prijetnja je potencijalni događaj ili radnja koja može utjecati na rad računalne mreže i dovesti do kvara sigurnosnog sustava. Kada su izložene resursima, prijetnje dovode do neovlaštenog pristupa, iskrivljavanja i distribucije zaštićenih podataka. Preporučljivo je izvore prijetnji podijeliti u sljedeće skupine:

- antropogene prijetnje (slučajne greške u razvoju i radu komponenti sigurnosnog sustava, namjerne radnje uljeza);

– tehnogene prijetnje (kvarovi i kvarovi tehničke opreme);

– prirodne opasnosti (prirodne prijetnje sigurnosti);

Tablica 2 prikazuje klasifikaciju i moguće prijetnje specifične za instituciju.

Tablica 2. Klasifikacija izvora prijetnji

Antropogeni izvori prijetnji
Interni
Osobe s ovlaštenim pristupom sigurnosnim objektima (uprava, nastavnici, studenti)	Potencijalni hakeri
Predstavnici Odjela za sigurnost i režim	Davatelji informacijskih usluga (pružatelji,
Predstavnici Odjela za informatizaciju (administrator sustava, programeri)	Predstavnici hitnih i inspekcijskih službi
Tehničko i pomoćno osoblje (čistačice, električari, vodoinstalateri, stolari)	Beskrupulozni partneri
Tehnogeni izvori prijetnji
Interni
Hardver za obradu informacija loše kvalitete	Komunikacijska sredstva (kanali za prijenos informacija)
Kvar i neuspjeh objekata za pohranu informacija	Struktura inženjerskih komunikacija
Nezaštićeni načini prijenosa informacija	Malware i virusi
Sigurnosni propusti

Prirodni izvori prijetnji karakterizirani su višom silom i odnose se na sve sigurnosne objekte. Takve je prijetnje teško predvidjeti i spriječiti. Glavni prirodni izvori prijetnji su: požari, poplave, uragani i nepredviđene okolnosti. Mjere zaštite od prirodnih nepogoda moraju se provoditi u svakom trenutku.

Što se tiče navedenih prijetnji, najvjerojatnije i najopasnije su nenamjerne radnje internih korisnika i osoba koje su izravno povezane s računalnom mrežom.

Najčešće i najopasnije (po visini štete) su nenamjerne pogreške redovnih korisnika, operatera, administratora sustava i drugih osoba koje održavaju računalnu mrežu. Najvjerojatnije su antropogene prijetnje, budući da je moguće predvidjeti djelovanje ljudi i poduzeti odgovarajuće protumjere, koje pak ovise o djelovanju onih koji su odgovorni za osiguranje informacijske sigurnosti.

Prijetnje su obično rezultat ranjivosti, koje zauzvrat dovode do kršenja sigurnosti. Ranjivost je greška u sustavu koja omogućuje uspješnu implementaciju prijetnje i ugrožavanje integriteta sustava. Ranjivosti mogu nastati iz nekoliko razloga:

- greške u izradi softvera (SW);

– namjerno uvođenje ranjivosti u fazi dizajna softvera;

– neovlašteno korištenje zlonamjernog softvera i, kao rezultat toga, rasipanje resursa;

– nenamjerne radnje korisnika;

– kršenje u radu softvera i hardvera;

Postoje sljedeće ranjivosti:

Cilj (ranjivosti koje ovise o tehničkoj opremljenosti informacijskog sustava):

– Hardverske knjižne oznake (knjižne oznake za tehničku i perifernu opremu);

– Softverske oznake (zloćudni softver);

Subjektivno (ranjivosti ovise o postupcima ljudi):

– Greške (zlouporaba softvera i hardvera od strane korisnika, pogrešan unos podataka);

– Kršenja (kršenje pravila politike informacijske sigurnosti, kršenje pristupa i povjerljivosti, kršenje rada hardvera);

Slučajni (ranjivosti uzrokovane okruženjem koje okružuje informacijski sustav)

– Kvarovi (kvar uređaja za obradu podataka, kvar mrežnih objekata, kvar kontrolnog i sigurnosnog sustava, kvar softvera);

– Kvarovi (prekidi struje);

– Oštećenje (kvar na komunalnoj mreži);

Slabljenje ili uklanjanje ranjivosti utječe na vjerojatnost implementacije prijetnji informacijskoj sigurnosti.

2.2 Model uljeza

Osiguranje zaštite informacijske imovine sveučilišta je specifično jer je riječ o instituciji s promjenjivom publikom. Zbog činjenice da napadi mogu doći od bilo kojeg aktera, korisno ih je podijeliti u dvije kategorije: vanjski uljezi i unutarnji uljezi. Vanjski uljez je osoba koja nije zaposlenik i nema pristup informacijskom sustavu. Ova kategorija uključuje:

- hakeri (subjekti koji kreiraju i provode napade radi nanošenja štete i stjecanja informacija ograničenog pristupa): neovlaštenim pristupom informacijskim sustavima mogu uništiti ili promijeniti informacije; uvođenje zlonamjernih programa i virusa, hardverskih i softverskih knjižnih oznaka, praćeno neovlaštenim pristupom);

– davatelji i dobavljači hardvera i softvera (provedba neovlaštenog pristupa putem radnih stanica informacijskim resursima i komunikacijskim kanalima);

Svi ostali subjekti su unutarnji prekršitelji. U skladu s dokumentom smjernica FSTEC-a „Osnovni model prijetnji sigurnosti osobnih podataka tijekom njihove obrade u informacijskim sustavima osobnih podataka“, interni prekršitelji podijeljeni su u osam kategorija:

1. Osobe koje imaju ovlašteni pristup ISPD-u, a nemaju pristup PD-u.

U odnosu na ovu ustanovu takva prava ima vodstvo, odjel za informatizaciju. U skladu sa svojim pravima, te osobe mogu: imati pristup određenim dijelovima PD-a koji kruže internim kanalima; poznavati informacije o ISPD topologiji, komunikacijskim protokolima i uslugama; identificirati imena i lozinke registriranih korisnika; promijeniti konfiguraciju hardvera i softvera.

2. Registrirani ISPD korisnici koji imaju ograničen pristup ISPD resursima s radnog mjesta.

Ova kategorija uključuje zaposlenike odjela, nastavnike i studente ustanove. Osobe u ovoj kategoriji: imaju jedan identifikator i lozinku; imaju povjerljive podatke kojima imaju ovlašteni pristup.

3. Registrirani ISPD korisnici koji pružaju daljinski pristup PD-u putem lokalnih i (ili) distribuiranih informacijskih sustava.

4. Registrirani ISPD korisnici s pravima administratora sigurnosti ISPD segmenta.

Osobe u ovoj kategoriji: imaju informacije o softveru, hardveru koji se koristi u ovom segmentu; ima pristup zaštitnim i logističkim objektima i ISPD hardveru.

5. Registrirani korisnici s ovlastima ISPD administratora sustava.

Osobe u ovoj kategoriji: poznaje podatke o softveru i hardveru kompletnog ISPD-a; ima fizički pristup svom hardveru; ima pravo konfigurirati hardver.

6. Registrirani korisnici s ISPD sigurnosnim administratorskim ovlaštenjem.

7. Programeri - razvijači softvera i osobe koje ga prate u ovom objektu.

Osobe u ovoj kategoriji: poznaju informacije o postupcima i programima obrade podataka za ISPD; može uvesti bugove, bugove i zlonamjerni kod u fazi razvoja; može znati informacije o topologiji i hardveru ISDN-a.

8. Programeri i osobe koje pružaju isporuku, održavanje i popravak hardvera na ISPD-u.

U odnosu na ovu instituciju, unutarnji prekršitelji uključuju:

– korisnici informacijskih resursa (osoblje zavoda, odjela i drugih jedinica, nastavnici, studenti) (nenamjerna izmjena ili uništavanje podataka; instaliranje zlonamjernog i necertificiranog softvera; prijenos individualne lozinke neovlaštenim osobama);

– osobe koje opslužuju i podržavaju informacijski sustav (slučajna ili namjerna pogrešna konfiguracija tehničkih ili mrežnih objekata);

- druge osobe koje imaju pristup objektima obrade informacija (tehničko osoblje i osoblje za održavanje) (nenamjerno ometanje rada elektroenergetskih objekata i inženjerskih građevina);

Posebna i najznačajnija kategorija prekršitelja su studenti. Do danas su mnogi od njih prilično dobro obučeni i razumiju kibernetički prostor. Određenom manipulacijom studenti mogu proizvesti niz sigurnosnih proboja i oštećenja.

2.3 Identifikacija stvarnih prijetnji informacijskom sustavu

Da bi se utvrdile stvarne sigurnosne prijetnje, moraju se uzeti u obzir dvije vrijednosti. Prvi pokazatelj je razina početne sigurnosti informacijskog sustava. Ovo je generalizirani pokazatelj koji ovisi o tehničkim karakteristikama sustava. U tablici 4. prikazan je izračun početne sigurnosti informacijskog sustava koja je određena postotnim udjelom pojedine sigurnosne razine prema svim dostupnim sigurnosnim pokazateljima.

Tablica 4. Izračun početne sigurnosti ustanove

Sigurnosni indikatori	Razina sigurnosti
Tehničke i operativne karakteristike ISPD
Po lokaciji:
distribuirani ISPD, koji pokriva nekoliko regija, teritorija, okruga ili državu u cjelini;
urbani ISPD, koji ne pokriva više od jednog naselja (gradova, mjesta);
korporativni distribuirani ISPD, koji pokriva mnoge odjele jedne organizacije;
lokalni (kampusni) ISPD raspoređen unutar nekoliko usko razmaknutih zgrada;
lokalni ISPD raspoređen unutar jedne zgrade
Prema dostupnosti priključka na javne mreže:
ISPDn koji ima pristup s više točaka javnoj mreži;
ISPDn, koji ima pristup s jedne točke javnoj mreži;
ISPD, fizički odvojen od javne mreže
Za ugrađeno (pravno) poslovanje s evidencijom baza osobnih podataka:
čitanje, traženje;
snimanje, brisanje, sortiranje;
izmjena, prijenos
Za ograničavanje pristupa osobnim podacima:
ISPD, kojemu imaju pristup zaposlenici organizacije koja posjeduje ISPD, navedeni u popisu, odnosno subjekt PD-a;
ISPD, kojem imaju pristup svi zaposlenici organizacije koja posjeduje ISPD;
ISPD s otvorenim pristupom
Prisutnošću veza s drugim PD bazama podataka drugih ISPD-ova:
integrirani ISPD (organizacija koristi nekoliko baza podataka PD ISPD, a organizacija nije vlasnik svih baza podataka PD koje se koriste);
ISPD, koji koristi jednu PD bazu podataka, u vlasništvu organizacije - vlasnika ovog ISPD-a
Po stupnju generalizacije (depersonalizacije) PB:
ISPD, u kojem su podaci dani korisniku anonimizirani (na razini organizacije, industrije, regije, regije itd.);
ISPD, u kojem se podaci anonimiziraju samo kada se prenose drugim organizacijama, a ne anonimiziraju se kada se daju korisniku u organizaciji;
ISPD, u kojem podaci koji se daju korisniku nisu anonimizirani (tj. postoje informacije koje vam omogućuju identifikaciju subjekta PD-a)
Po volumenu PD koji su predviđeni treći korisnici ISPD-a bez prethodne obrade:
ISPD, koji pruža cjelokupnu bazu podataka s PD;
ISPD, pružanje dijela PD-a;
ISPD, koji ne daje nikakve informacije.
Broj odluka

Na temelju rezultata analize može se zaključiti da ISPD ustanove ima prosječnu razinu sigurnosti. U skladu s dobivenim rezultatom uvodi se koeficijent Y 1 = 5. Ovaj koeficijent je prvi parametar u određivanju relevantnosti prijetnji.

Sljedeći parametar je vjerojatnost prijetnje ( Y 2). Ovaj pokazatelj određuje stručnjak i ima četiri moguće vrijednosti:

- malo vjerojatno (nepostojanje objektivnih preduvjeta za realizaciju prijetnje - 0);

- mala vjerojatnost (postoje očiti preduvjeti za provedbu prijetnje, ali postojeća sredstva zaštite otežavaju provedbu - 2);

– prosječna vjerojatnost (postoje preduvjeti za realizaciju prijetnji, a početne metode zaštite su nedovoljne - 5);

- velika vjerojatnost (postoje objektivni preduvjeti za provedbu prijetnje i nisu poduzete sigurnosne mjere - 10);

Na temelju dobivenih parametara izračunava se koeficijent implementacije prijetnje Y koji se određuje formulom Y = ( Y 1 +Y 2)/20. Prema rezultatu, Y ima sljedeće vrijednosti:

– 0 < Y < 0,3 - низкая реализуемость угрозы;

– 0,3 < Y < 0,6 - средняя реализуемость угрозы;

– 0,6 < Y < 0,8 - высокая реализуемость угрозы;

– Y > 0,8 - vrlo visoka izvedivost prijetnje;

Sljedeći korak je procijeniti opasnost od prijetnje. Ovu ocjenu daje stručnjak za sigurnost i ima sljedeće vrijednosti opasnosti:

- mala opasnost - provedba prijetnje može uzrokovati beznačajnu štetu;

- srednja opasnost - provedba prijetnje može izazvati štetu;

- velika opasnost - provedba prijetnje može uzrokovati značajnu štetu;

U tablici 5. prikazana je matrica za izračun relevantnosti prijetnji koja se dobiva uzimajući u obzir sve navedene pokazatelje.

– «+» - prijetnja je stvarna;

– «-» - prijetnja je nebitna;

Tablica 5. Matrica izračuna relevantnosti prijetnje

Vrijednost izvedivosti prijetnje	Značenje opasnosti prijetnje
Vrlo visoko

Kao rezultat analize početne sigurnosti ustanove i matrice relevantnosti prijetnji, utvrđene su prijetnje karakteristične za ovu instituciju i njihova relevantnost prema sljedećem planu: prijetnja (vjerojatnost prijetnje; izvedivost prijetnje) ; procjena rizika prijetnje) - relevantno / nebitno.

1. Neovlašteni pristup području ustanove, hardverskim objektima, dokumentaciji (mala vjerojatnost (2); srednja izvedivost (0,35); velika opasnost) - stvarno;

2. Krađa ili oštećenje opreme automatiziranog sustava (malo vjerojatno (0); mala izvedivost (0,25); velika opasnost) - relevantno;

3. Nenamjerno uništavanje i izmjena informacija (srednja vjerojatnost (5); prosječna izvedivost (0,5); visoka opasnost) - relevantno;

4. Krađa papirnatih izvora informacija (malo vjerojatno (0); mala izvedivost (0,25); srednja opasnost) - nebitno;

5. Curenje povjerljivih podataka putem mobilnih uređaja i prijenosnih računala (malo vjerojatno (0); mala izvedivost (0,5); srednja opasnost) - nebitno;

6. Nenamjerno prekoračenje prava korištenja opreme zbog nedostatka relevantnih znanja (srednja vjerojatnost (5); prosječna izvedivost (0,5); prosječna opasnost) - relevantno;

7. Presretanje prenesenih informacija skeniranjem mrežnog prometa (mala vjerojatnost (2); srednja izvedivost (0,35); visoka opasnost) - relevantno;

8. Instalacija zlonamjernog softvera treće strane (mala vjerojatnost (2); srednja izvedivost (0,35); srednja opasnost) - relevantno;

9. Promjena konfiguracije programskih komponenti (srednja vjerojatnost (5); srednja izvedivost (0,5); visoki rizik) - relevantno;

10. Uništavanje ili izmjena podataka o registraciji korisnika (malo vjerojatno (0); niska izvedivost (0,25); nizak rizik) - nevažno;

11. Nenamjerno otkrivanje povjerljivih informacija od strane zaposlenika (visoka vjerojatnost (10); visoka izvedivost (0,75); velika opasnost) - relevantno;

12. Razne vrste zračenja koje mogu utjecati na rad tehničkih sredstava (malo vjerojatno (0); mala izvedivost (0,25); srednja opasnost) - nebitno;

13. Kvar i kvar mrežne opreme (srednja vjerojatnost (5); prosječna izvedivost (0,5); prosječna opasnost) - stvarno;

14. Uništavanje podataka zbog pogrešaka ili kvara hardvera i softvera (srednja vjerojatnost (5); srednja izvedivost (0,5); velika opasnost) - relevantno;

15. Oznake programa (mala vjerojatnost (2); prosječna izvedivost (0,35); prosječna opasnost) - stvarno;

16. Korištenje tuđih registracijskih podataka za ulazak u informacijske servise (srednja vjerojatnost (2); prosječna izvedivost (0,35); visok rizik) - relevantno;

17. Kršenje režima i zaštitnih mjera (mala vjerojatnost (2); prosječna izvedivost (0,35); prosječna šteta) - stvarno;

Nakon analize trenutnih prijetnji, može se zaključiti da su sve one otklonjene tehničkim i organizacijskim mjerama. U tablici 6 prikazane su mjere za borbu protiv aktualnih prijetnji koje se mogu koristiti na sveučilištu za zaštitu podataka.

Tablica 6. Metode borbe protiv trenutnih prijetnji

trenutna prijetnja	Tehničke mjere za suzbijanje prijetnje	Organizacijske mjere za suzbijanje prijetnje
Neovlašteni pristup hardverskim objektima uz mogućnost krađe ili oštećenja opreme	- protuprovalni alarm i video nadzor; - šifrirana brava - blokator za ulazak u sobu sa serverima;	- sigurnosni način pristupa; - kontrola sredstava za obradu informacija;
Nenamjerno uništavanje ili izmjena informacija od strane zaposlenika	Korištenje alata za zaštitu podataka i izradu sigurnosnih kopija;	Brifing zaposlenika;
Nenamjerno prekoračenje prava korištenja opreme zbog nedostatka relevantnih znanja	Korištenje sredstava zaštite od neovlaštenog pristupa;	- informiranje zaposlenika; - razlikovanje prava pristupa;
Presretanje mrežnog prometa	- šifriranje podataka; - korištenje vatrozida;	- brifing administratora sigurnosti; - računovodstvo sredstava zaštite podataka;
Instaliranje zlonamjernog softvera i promjena konfiguracije softvera	Korištenje antivirusnih zaštitnih alata;	- informiranje zaposlenika;
Nenamjerno otkrivanje povjerljivih informacija od strane zaposlenika		- informiranje zaposlenika; - sastavljanje akta o čuvanju podataka;
Kvar i kvar mrežne opreme s naknadnim uništavanjem informacija	- korištenje izvora neprekinutog pisanja; - korištenje certificiranog hardvera i softvera; Sigurnosno kopiranje podataka;	Brifing administratora sustava;
Oznake programa	- korištenje certificiranog softvera; - korištenje antivirusne zaštite;	- informiranje zaposlenika; - brifing administratora;
Korištenje tuđih registracijskih podataka za ulazak u informacijske usluge		- davanje instrukcija zaposlenicima; -instrukcije administratoru sigurnosti;

Metode borbe protiv prijetnji navedene u tablici bit će uzete u obzir i korištene u izradi sveučilišne sigurnosne politike.

2.4. Određivanje klase sigurnosti informacijskog sustava

Za razvoj učinkovitog sigurnosnog sustava za instituciju potrebno je odrediti sigurnosnu klasu izvornog sustava. Za to je provedena analiza informacijskog sustava i dobiveni su sljedeći rezultati:

– Sustav obrađuje informacije različitih razina povjerljivosti;

– Sustav obrađuje podatke koji su klasificirani kao „tajno”;

– Informacijski sustav je višekorisnički;

- Dozvole...

Slični dokumenti

Bit informacije, njezina klasifikacija. Glavni problemi osiguranja i prijetnje informacijskoj sigurnosti poduzeća. Analiza rizika i načela informacijske sigurnosti poduzeća. Razvoj skupa mjera za osiguranje informacijske sigurnosti.

seminarski rad, dodan 17.05.2016


Analiza infrastrukture LLC trgovine "Stil". Izrada sustava informacijske sigurnosti za računovodstveni odjel poduzeća na temelju njegovog predprojektnog istraživanja. Izrada koncepta, politike informacijske sigurnosti i izbor rješenja za njezino osiguranje.

seminarski rad, dodan 17.09.2010


Strategija informacijske sigurnosti poduzeća u obliku sustava učinkovitih politika koje bi definirale učinkovit i dostatan skup sigurnosnih zahtjeva. Identifikacija prijetnji informacijskoj sigurnosti. Interna kontrola i upravljanje rizicima.

seminarski rad, dodan 14.06.2015


Izrada strukturnih i infoloških modela informacijskog sustava državne institucije. Popis i analiza prijetnji, objekti napada, vrste gubitaka, razmjeri štete, izvori. Zaštita baze povjerljivih informacija i izrada sigurnosne politike.

seminarski rad, dodan 15.11.2009


Osnovni pojmovi, metode i tehnologije upravljanja rizicima informacijske sigurnosti. Identifikacija rizika, imovine, prijetnji, ranjivosti, postojećih kontrola, posljedica. Procjena i smanjenje rizika. Primjeri tipičnih prijetnji informacijskoj sigurnosti.

prezentacija, dodano 11.04.2018


Regulatorni dokumenti u području informacijske sigurnosti u Rusiji. Analiza prijetnji informacijskih sustava. Obilježja organizacije sustava zaštite osobnih podataka poliklinike. Implementacija sustava autentifikacije pomoću elektroničkih ključeva.

diplomski rad, dodan 31.10.2016


Karakteristike informacijskih resursa poljoprivrednog gospodarstva "Ashatli". Prijetnje informacijskoj sigurnosti specifične za poduzeće. Mjere, metode i sredstva zaštite informacija. Analiza nedostataka postojećeg i prednosti ažuriranog sigurnosnog sustava.

seminarski rad, dodan 03.02.2011


Pojam, značenje i pravci informacijske sigurnosti. Sustavni pristup organiziranju informacijske sigurnosti, zaštiti informacija od neovlaštenog pristupa. Sredstva zaštite informacija. Metode i sustavi informacijske sigurnosti.

sažetak, dodan 15.11.2011


Analiza rizika informacijske sigurnosti. Identifikacija ranjivosti imovine. Ocjena postojećih i planiranih sredstava zaštite. Skup predviđenih pravnih, organizacijskih i administrativnih sredstava za osiguranje informacijske sigurnosti.

diplomski rad, dodan 03.04.2013


Razvoj informacijskog sustava sveučilišta metodom objektno orijentiranog modeliranja UML. Analiza zahtjeva sustava. Konceptualni (sadržajni) model. Dijagram komponenti i klasa. Programska implementacija aplikacije.

A.V. VOLKOV
administrator sustava Saratovskog državnog društveno-ekonomskog sveučilišta

Sveučilišta su odigrala ključnu ulogu u razvoju računalne tehnologije i softvera. Razvijaju, testiraju i implementiraju napredne IT projekte. S porastom kibernetičkog kriminala, zaštita povjerljivih informacija i razvoj u obrazovnim institucijama postaje posebno relevantan.

Računovodstvo za specifičnosti

Sveučilišta su infrastruktura koja ima ogromnu banku podataka koja sadrži informacije različite prirode. Ovo nisu samo priručnici za obuku u elektroničkom obliku, već i važni dizajnerski i istraživački razvoji. Rast kriminala u području visokih tehnologija diktira vlastite zahtjeve zaštite resursa računalnih mreža obrazovnih institucija i postavlja zadatak izgradnje vlastitog integriranog sigurnosnog sustava. Njegovo rješavanje podrazumijeva postojanje regulatornog okvira, formiranje koncepta sigurnosti, izradu mjera, planova i postupaka za siguran rad, projektiranje, implementaciju i održavanje tehničkih sredstava zaštite informacija (ISP) u okviru obrazovnog institucija. Ove komponente definiraju jedinstvenu politiku informacijske sigurnosti na sveučilištu.

Specifičnost zaštite informacija u obrazovnom sustavu leži u činjenici da je sveučilište javna ustanova s ​​nestalnom publikom, ali i mjesto pojačane aktivnosti „kiberkriminalaca početnika“. Glavna skupina potencijalnih prekršitelja ovdje su studenti, neki od njih imaju prilično visoku razinu znanja o računalima i mrežama. Dob - od 18 do 23 godine - i mladenački maksimalizam potiče takve ljude da pokažu svoje znanje pred kolegama studentima: organiziraju virusnu epidemiju, dobiju administrativni pristup i "kazne" nastavnika blokiranjem pristupa Internetu. Dovoljno je podsjetiti da su prvi računalni prijestupi rođeni na sveučilištu (crv Morris).

Studenti imaju pristup samo računalnim učionicama, a interna prijetnja dolazi od njih. Rad učenika i nastavnika u takvim učionicama treba urediti naredbom (aktom) uprave. Kako bi se izbjegao unos zlonamjernih informacija u internu mrežu, poželjno je da računala nemaju diskove i da usb priključci budu onemogućeni.

Analiza prijetnji, njihovih izvora i rizika

Računalne mreže obrazovnih ustanova skup su mrežnih resursa za obrazovne aktivnosti, radnih stanica osoblja, uređaja za funkcioniranje mreže u cjelini.

Izvori mogućih prijetnji informacijama su: informatizirane učionice u kojima se odvija obrazovni proces;

• Internet;
• radne stanice sveučilišnih zaposlenika nestručnih u području informacijske sigurnosti.

Analiza informacijskog rizika može se podijeliti u sljedeće faze:

• klasifikacija objekata koji se štite prema važnosti;
• određivanje atraktivnosti objekata zaštite za krekere;
• identifikaciju mogućih prijetnji i mogućih kanala pristupa objektima;
• procjena postojećih sigurnosnih mjera;
• identifikaciju obrambenih ranjivosti i načine njihovog uklanjanja;
• sastavljanje rangirane liste prijetnji;
• procjena štete od neovlaštenog pristupa, napada uskraćivanjem usluge, kvarova opreme.

Glavni objekti koji trebaju zaštitu od neovlaštenog pristupa:

• računovodstveni LAN, podaci plansko-financijske službe, te statistički i arhivski podaci;
• poslužitelji baze podataka;
• konzola za upravljanje računom;
• www/ftp poslužitelji;
• LAN i poslužitelji za istraživačke projekte.

Pravilnik o radu

Za autentifikaciju korisnika na radnim stanicama nastavnog osoblja, računalima u učionicama može se koristiti kontrola pristupa temeljena na ulogama (RAC). Bit tehnologije je stvoriti određenu "ulogu koja veže korisnika i njegove privilegije u sustavu. Uz njegovu pomoć možete učinkovito izgraditi fleksibilnu politiku kontrole pristupa u višekorisničkom sustavu.

RUD značajno olakšava administraciju višekorisničkih sustava uspostavljanjem veza između "uloga" i korisnika. Za svakog korisnika može se aktivirati nekoliko "uloga" odjednom, koje se mogu istovremeno dodijeliti više korisnika odjednom.

Korištenje mrežnog operativnog sustava Novell Netware omogućuje centralno upravljanje procesom identifikacije korisnika u zajedničkoj sveučilišnoj mreži, praćenje njihovih radnji i ograničavanje pristupa resursima. Alati za informacijsku sigurnost (ISZ) već su ugrađeni u ovaj OS na osnovnim razinama i nisu dodatak u obliku bilo koje aplikacije.

Novell NetWare OS sadrži sljedeće razine sigurnosnih mehanizama:

• zaštita korisničkih podataka;
• zaštita lozinkom;
• zaštita imenika;
• zaštita datoteka;
• firewall zaštita.

Za svakog korisnika registriranog u ovom OS-u postoje pravila koja označavaju popis resursa kojima ima pristup, prava za rad s njima. Za pomoć administratoru upotrijebite Konzolu za upravljanje računom. Moguće je ograničiti korisnikovo pravo ulaska u mrežu vremenom, datumom i određenim radnim stanicama. ACL-ovi i takozvani konteksti koriste se kao sustav kontrole pristupa. Za svaki kontekst definiran je popis dostupnih mrežnih resursa. To vam omogućuje dijeljenje pristupa resursima između uprave, sveučilišnog osoblja i studenata. Osim toga, možete postaviti dodatna grupna pravila unutar određenog konteksta (na primjer, podijeliti studentski pristup kontekstu po odjelu bez korištenja podkonteksta). Ugrađeni alati za otkrivanje i sprječavanje napada omogućuju vam brzo prepoznavanje uljeza.

Često je bežična mreža postavljena u kampusu sveučilišta, čiji je pristup obično besplatan. Vrijedno je koristiti takvu shemu kada bežične pristupne točke nisu povezane s internom mrežom sveučilišta. Komunikacija s Internetom u pravilu se odvija istovremeno preko nekoliko komunikacijskih linija (optička okosnica, satelitski i radio kanali). Osigurani su zasebni kanali za komunikaciju s drugim sveučilištima ili za sigurnu razmjenu podataka. Kako bi se uklonili rizici povezani s curenjem i oštećenjem prenesenih informacija, takve mreže ne bi trebale biti povezane s globalnim mrežama i općom mrežom sveučilišta.

Kritični čvorovi za sveučilišnu razmjenu podataka (računovodstveni LAN) također moraju postojati zasebno.

linije obrane

Prva linija obrane od napada izvana (Internet) je usmjerivač (router). Koristi se za međusobno povezivanje dijelova mreže, kao i za učinkovitije odvajanje prometa i korištenje alternativnih putova između mrežnih čvorova. O njegovim postavkama ovisi funkcioniranje podmreža i komunikacija s mrežama širokog područja (WAN). Njegova glavna sigurnosna briga je zaštita od napada Distributed Denial of Service (DDOS).

ITU može poslužiti kao druga granica: hardverski i softverski sustav Cisco PIX Firewall.

Zatim dolazi DMZ. U ovoj zoni vrijedi postaviti glavni proxy poslužitelj, dns poslužitelj, www/ftp, mail poslužitelje. Proxy poslužitelj obrađuje zahtjeve s radnih stanica obrazovnog osoblja, poslužitelja koji nisu izravno povezani s routerom te filtrira promet. Sigurnosna politika na ovoj razini trebala bi se odrediti blokiranjem neželjenog prometa i njegovim spremanjem (filtriranje multimedijskog sadržaja, iso slika, blokiranje stranica neželjenog/opscenog sadržaja ključnim riječima). Kako bi se spriječilo preuzimanje informacija zaraženih virusom, opravdano je postaviti antivirus (na primjer, ClamAV) na ovaj poslužitelj. Za detaljniju analizu i kontrolu prometa treba koristiti IDS (kao što je Snort).

Informacije s proxy poslužitelja šalju se paralelno na poslužitelj statistike, gdje možete pregledati i analizirati aktivnosti korisnika na Internetu. Poslužitelj e-pošte mora imati antivirusni program za poštu, na primjer, Kaspersky AntiVirus za poslužitelje e-pošte.

Budući da su ovi poslužitelji povezani izravno na globalnu mrežu, revizija softvera instaliranog na njima primarni je zadatak inženjera informacijske sigurnosti sveučilišta. Za uštedu troškova i fleksibilnost prilagodbe, poželjno je koristiti OS i softver otvorenog koda. Najčešći operativni sustavi su FreeBSD i GNU Linux. Ali ništa vas ne sprječava da koristite konzervativniji OpenBSD ili čak ultrastabilni OS u stvarnom vremenu QNX.

Potražnja za antivirusnim alatima raste svake godine i nije zaobišla infrastrukturu sveučilišta.

Za centralizirano upravljanje antivirusnim aktivnostima potreban vam je proizvod s arhitekturom klijent-poslužitelj, kao što je Dr.Web Enterprise Suite. Omogućuje vam centralno upravljanje postavkama i ažuriranje antivirusnih baza podataka pomoću grafičke konzole i pružanje lako čitljive statistike o virusnoj aktivnosti, ako je ima.

Za veću udobnost zaposlenika sveučilišta možete organizirati pristup internoj mreži sveučilišta pomoću VPN tehnologije.