Разработка методики защиты персональных данных в АИСУ ПГУПС.

2.5 Общие требования к документированию
Для документального определения режимов обработки и защиты информации в состав рабочей (исполнительной) документации по защите конфиденциальной информации необходимо включить следующие документы:
«Описание технологического процесса обработки конфиденциальной информации», в котором отражен порядок проведения всех операций ТП (ввод, вывод, обработка и хранение, резервирование и восстановление, управление доступом);
«Инструкция пользователя», в которой отражены порядок его работы с информацией, права, обязанности и ответственность;
«Инструкции администраторов ОС, БД»;
«Инструкция обслуживающего персонала»;
«Журнал регистрации бумажных носителей информации», в котором учитываются все операции распечатывания документов, графы журнала заполняются исполнителями работ;
«Журнал учета резервного копирования», в котором учитываются все операции резервного копирования и восстановления информации, все графы журнала заполняют администраторы.
Перечень сведение конфиденциального характера ПГУПС.
Документация на ПО, а также его компоненты, в том числе покупные, должна быть выполнена на русском языке.
Документация на ПО, в том числе покупное, и (или) его компоненты должна содержать следующие сведения:
- область применения СЗПД;
- данные о структуре ПО (модульная, базовый комплект и дополнительные модули);
- описание внутренних форматов картографических данных (если это оговорено в ТЗ), моделей хранения данных, структуры базы данных, порядка экспорта и импорта картографических данных и баз данных;
- характеристику пользовательского интерфейса;
- описание внутреннего языка программирования;
- сведения об открытости ПО;
- данные о настраиваемости ПО;
-порядок взаимодействия ПО с другими программными продуктами;
- систему поддержки и сопровождения.
Порядок выполнения документов для ПО устанавливают в соответствии с ТЗ на них.
3 Практические рекомендации по модернизации подсистем информационной безопасности для АИСУ
3.1 Состав и содержание работ по модернизации системы
информационной безопасности персональных данных
При разработке программы модернизации системы информационной безопасности персональных данных, сегодня любой грамотный IT-менеджер обязан позаботиться о модернизации (а может быть, и о создании) подсистемы информационной безопасности.
Для успешного выполнения поставленной задачи проектировщик подсистемы информационной безопасности, прежде всего, должен четко представлять себе эту систему на самом общем, концептуальном уровне, с тем, чтобы правильно определить основные приоритеты ее построения и взаимосвязь между ее отдельными компонентами. Для наглядности рассмотрим упрощенную модель подсистемы информационной безопасности корпоративной сети, т. е. по типовым этапам ее построения.
Построение эффективной системы ИБ должно опираться на анализ рисков (в том числе анализ возможного ущерба), который является основой при выборе технических подсистем, их экономическом обосновании. Плюс комплекс организационных мер и создание системы управления ИБ (системы управления информационными рисками). И, наконец, соблюдение выверенных на практике принципов построения системы ИБ, например, принципа «многоэшелонированной» защиты.
Таким образом, при модернизации системы ИБ целесообразно реализовывать цикл работ (Приложенение. 1), включающий обязательный этап диагностического обследования с оценкой уязвимостей информационной системы и угроз, на основе которого производится проектирование системы и ее внедрение.
В общем случае построение подсистемы информационной безопасности для АИСУ целесообразно разделить на несколько этапов
На первом этапе рекомендуется провести диагностическое обследование / аудит системы ИБ
В ходе диагностического обследования проводится анализ рисков. Для проверки способности информационной системы противостоять попыткам несанкционированного доступа и воздействия на информацию иногда целесообразно выполнять тесты на проникновение.
Существует несколько видов обследования:
предпроектное диагностическое обследование, которое выполняется при модернизации системы ИБ;
аудит системы ИБ (или системы управления ИБ) на соответствие требованиям внутрикорпоративным стандартам или международным/национальным стандартам. Примером может служить сертификационный аудит системы управления ИБ по ISO 27001;
специальные виды обследования, например, при расследовании компьютерных инцидентов.
При проведении диагностического обследования/аудита системы ИБ последовательно выполняются следующие работы:
Каждый этап работ имеет реальные, контролируемые результаты, что позволяет обеспечить эффективный контроль проекта на всем его протяжении.
Следующим этапом построения системы ИБ является ее проектирование, включая систему управления ИБ.
Задача проектирования системы ИБ тесно связана с понятием архитектуры системы ИБ. Построение архитектуры системы ИБ, как интегрированного решения, соблюдение баланса между уровнем защиты и инвестициями в систему ИБ обеспечивают ряд преимуществ: интеграция подсистем позволяет снизить совокупную стоимость владения, повысить коэффициент возврата инвестиций при внедрении и улучшает управляемость системы ИБ, а следовательно, возможности отслеживания событий, связанных с ИБ.
Интегрированная архитектура системы ИБ
Интегрированная архитектура систем ИБ включает в себя набор следующих подсистем:
подсистему защиты периметра сети и межсетевых взаимодействий (межсетевые экраны и т.п.);
подсистему защиты серверов сети;
подсистему мониторинга и аудита безопасности;
средства обнаружения атак и автоматического реагирования;
средства анализа защищенности и управления политикой безопасности;
средства криптографической защиты информации;
инфраструктуру открытых ключей;
подсистему резервного копирования и восстановления данных;
автоматизированную систему установки обновлений ПО;
средства управления безопасности;
подсистему аутентификации и идентификации.
Этапы работ по проектированию системы ИБ
1. Разработка Концепции обеспечения информационной безопасности. Определяются основные цели, задачи и требования, а также общая стратегия построения системы ИБ. Идентифицируются критичные информационные ресурсы. Вырабатываются требования к системе ИБ и определяются базовые подходы к их реализации.
2. Создание / развитие политики ИБ.
3. Построение модели системы управления ИБ (на основе процессно-ролевой модели).
4. Подготовка технического задания на создание системы информационной безопасности.
5. Создание модели системы ИБ.
Тестирование на стенде спроектированной системы ИБ.
 Разработка организационно-распорядительных документов системы управления ИБ (политик по обеспечению информационной безопасности, процедур, регламентов и др.).
 Разработка рабочего проекта (включая документацию на используемые средства защиты и порядок администрирования, план ввода системы ИБ в эксплуатацию и др.), планирование обучения пользователей и обслуживающего персонала информационной системы.
Внедрение системы ИБ
После проведения полного тестирования спроектированной системы ИБ, можно приступать к ее внедрению. Работы по внедрению системы включают выполнение следующих задач:
поставку программных и технических средств защиты информации;
инсталляцию программных компонентов;
настройку всех компонентов и подсистем;
3.2 Расчёт значений рисков по угрозе информационной безопасности (произвести расчёт по алгоритму ГРИФ)
При создании алгоритма современного анализа рисков необходимо решить весь перечисленный выше спектр проблем. На сегодняшний день из существующих и реально использующихся на практике программных комплексов анализа и контроля информационных рисков можно выделить британский CRAMM (компания Insight Consulting), американский RiskWatch (компания RiskWatch) и российский ГРИФ (компания Digital Security).
В данной дипломной работы мы будем использовать российский ГРИФ (компания Digital Security)
В алгоритме ГРИФ от пользователя не требуется вводить вероятности реализации угроз. Данная система моделирует доступ всех групп пользователей ко всем видам информации и в зависимости от вида доступа и вида ресурса рассматриваются конечное множество очевидных элементарных ситуаций, где начальную вероятность реализации угрозы можно определить достаточно просто и точно. Далее анализируется множество элементарных факторов, которые так или иначе влияют на защищенность, и затем делается вывод об итоговых рисках. Таким образом, в рамках алгоритма ГРИФ применяется типовой алгоритмический подход, когда решение большой сложной задачи разбивается на множество небольших простых задач.
Расчет информационных рисков.
Критичность ресурса (D) – степень значимости ресурса. Отражает влияние реализации угрозы на работу информационной системы.
Критичность реализации угрозы (ER) – степень влияния реализации угрозы на ресурс. Задается в %.
Вероятность реализации угрозы через данную уязвимость в течении года (P(v)) – степень возможности реализации угрозы через данную уязвимость в тех или иных условиях, указывается в %.
Объект защиты – автоматизированное рабочее место (АРМ) сотрудника.
Критерий критичности (D) равен 5000 рублей.
Таблица угроз и уязвимостей.
Угроза Уязвимости 1.Физический доступ нарушителя к АРМ 1. Отсутствие системы контроля доступа служащих к чужим АРМам 2.Отсутствие системы видеонаблюдения
в университете 3. Несогласованность в системе охраны периметра задания 2.Разглашение КИ, хранящейся на АРМ 1.Отсутствие соглашения о неразглашении между Администрацией и служащими. 2.Нечеткое распределение ответственности между служащими 3.Разрушение КИ при помощи специальных программ и вирусов 1.Отсутствие или некорректная работа антивирусного ПО 2.Отсутствие ограничения доступа пользователей к внешней сети
Таблица вероятности реализации данной угрозы через уязвимость в течении года(P(V)) и критичности реализации угрозы (ER).
Угроза/уязвимость P(V), % ER,% 1/1 50 50 1/2 30 50 1/3 10 40 2/1 30 40 2/2 50 40 3/1 10 90 3/2 20 60
Таблица уровня угрозы по определённой уязвимости (Th) и по уровню угроз по всем уязвимостям (CTh).
Угроза/уязвимость Th CTh 1/1 0,25 0,975 1/2 0,15 1/3 0,04 2/1 0,12 0,296 2/2 0,2 3/1 0,09 0,199 3/2 0,12 Th=P(V)/100*ER/100
CTh=1-П(1-Th)
Рассчитаем общий уровень угроз по ресурсу:
CThR=1-П(1-CTh)=1-0,025*0,04*0,801=0,986
Рассчитаем риск по ресурсу:
R= CThR*D=0,986*7500=7395 (руб).
Объект защиты – сервер локальной сети.
Критерий критичности (D) равен 15000 рублей.
Таблица угроз и уязвимостей.
Угроза Уязвимости 1.Физический доступ нарушителя к серверу 1.Неорганизованность контрольно-пропускного режима в университете 2.Отсутствие видеонаблюдения 2.Разглашение КИ, хранящейся на сервере 1.Отсутствие соглашения о нераспространении КИ 2. Нечеткое распределение ответственности между сотрудниками университета
Таблица вероятности реализации данной угрозы через уязвимость в течении года(P(V) и критичности реализации угрозы (ER).
Угроза/уязвимость P(V), % ER,% 1/1 70 80 1/2 40 60 2/1 30 30 2/2 70 50
Таблица уровня угрозы по определённой уязвимости (Th) и по уровню угроз по всем уязвимостям (CTh).
Угроза/уязвимость Th CTh 1/1 0,56 0,666 1/2 0,24 2/1 0,09 0,408 2/2 0,35
Th=P(V)/100*ER/100
CTh=1-П(1-Th)
Рассчитаем общий уровень угроз по ресурсу:
CThR=1-П(1-CTh)=1-0,344*0,592=0,796
Рассчитаем риск по ресурсу:
R=CTh*D=0,796*15000=11940 (руб).
Объект защиты – Конфиденциальная документация.
Критерий критичности (D) равен 3000 рублей.
Таблица угроз и уязвимостей.
Угроза Уязвимости 1.Физический доступ нарушителя к документам 1.Неорганизованность контрольно-пропускного режима в университете 2.Отсутствие видеонаблюдения 2.Разглашение КИ, используемой в документах, вынос документов за пределы КЗ 1.Отсутствие соглашения о неразглашении КИ 2. Нечеткое распределение ответственности за документы между сотрудниками университета 3.Несанкционированное копирование, печать и размножение КД 1. Нечеткая организация конфиденциального документооборота 2. Неконтролируемый доступ сотрудников к копировальной и множительной технике
Таблица вероятности реализации данной угрозы через уязвимость в течении года(P(V) и критичности реализации угрозы (ER).
Угроза/уязвимость P(V), % ER,% 1/1 70 80 1/2 40 60 2/1 30 30 2/2 70 50 3/1 70 50 3/2 90 80
Таблица уровня угрозы по определённой уязвимости (Th) и по уровню угроз по всем уязвимостям (CTh).

Угроза/уязвимость Th CTh 1/1 0,56 0,666 1/2 0,24 2/1 0,09 0,408 2/2 0,35 3/1 0,35 0,818 3/2 0,72
Th=P(V)/100*ER/100
CTh=1-П(1-Th)
Рассчитаем общий уровень угроз по ресурсу:
CThR=1-П(1-CTh)=1-0,334*0,592*0,182=0,964
Рассчитаем риск по ресурсу:
R=CTh*D=0,964*3000=2892 (руб).
ПГУПС является государственной организацией, поэтому деньги на создание комплексной системы защиты информации будут выделяться из городского бюджета.
Из оценки рисков можно подсчитать какой ущерб может понести ПГУПС при реализации той. Так же мы можем оценить экономическую целесообразность построения АИСУ.
Если потери при реализации информационных угроз являются незначительными, то не имеет смысла строить дорогостоящую АИСУ.
Еще одним важным шагом является разработка Технического задания на АИСУ. Оно определяет все основные требования к АИСУ и возможные пути реализации её составляющих элементов. В ТЗ формулируются и исследуются основные каналы утечки информации и пути и средства их локализации.
3.3 Экономический эффект от внедрения предложений
В данном разделе рассмотрена методика и специфика расчета экономической эффективности проекта.
Эффективность - одно из наиболее общих экономических понятий, не имеющих пока, по-видимому, единого общепризнанного определения. Это одна из возможных характеристик качества системы, а именно её характеристика с точки зрения соотношения затрат и результатов функционирования системы .
Расчет годового экономического эффекта от использования предложений как элемента новой технологии проектирования и внедрения вычислительного определяется по формуле:
Э = (З1 – З2) * А2где
Э – годовой экономический эффект от использования предложения в вычислительных процессах, руб.;
З1 , З2 – приведенные затраты на единицу работ, выполненных с помощью нового предложения и без него, руб.;
А2 – годовой объем работ выполняемых с помощью нового предложения в расчетном году, натур. ед.
Приведенные затраты (З2) на единицу работы рассчитываются по формулам:
З1 = С1 + Ен * К1
З2 = С2 + Ен * К2
 где  С1, С2 – себестоимость единицы работ производимых без использования предложения и с помощью него, руб.;
К1, К2 капитальные вложения, связанные с использованием предложения (К2) и без его использования (К1), руб.;
Ен– нормативный коэффициент экономической эффективности капитальных вложений, равный 0,15.
Себестоимость единицы работ (С1, С2) определяется по формуле:
С1 = Зар. плата инспектора / N0* 21.8
С2 = Зар. плата инспектора / N1 * 21.8
где   Зар. плата инспектора -  15000 руб. в месяц
N0 – количество документов, обрабатываемых без компьютера в день (до 10);
N1 – количество документов, обрабатываемых с применением предложения в день (до 50);
Следовательно себестоимость составит
С1 = 1500 / 10 * 21.8 = 1500 / 218 = 70 (руб)
С2 = 1500/ 50 * 21.8 = 1500 /1090 = 15 (руб)
Удельные капитальные вложения не связанные с использованием предложения рассчитывается по формуле:
К1 = капитальные затраты / (N0* 21.8 * 12)
В свою очередь в капитальные затраты отнесены: электроэнергия           400 руб. в месяц *12 = 4 800, что составляет в общей сумме 4800 руб.
Подставив значения в формулу получим:
К1 = 4800 / (7*21.8*12) = 4800 / 1831 = 3 руб.
Удельные капиталовложения, связанные с использованием предложения равны:
= LСМ / (N1* 21.8 * 12)= 30322/(50 * 21.8 * 12)= 59994/13080 = 5 руб.
Следовательно, приведенные затраты на единицу работ равны:
З1 = 7 + 0.15 * 3 =  7 руб
З2 = 1,5 + 0.15 * 5 =  2 руб
Для расчета годового объема выполненных работ с помощью предложения необходимо использовать формулу:
А2 = N1 * 21.8 * 12 = 13080 (документов)
Зная все необходимые данные можно рассчитать годовой экономический эффект от использования предложения:
Э = (7 – 2) * 13080 = 65400 руб.
Полученная величина свидетельствует об эффективности внедрения  ПЭВМ в университете, так как за счет увеличения количества документов, обрабатываемых с помощью ЭВМ уменьшаются затраты выполненные на единицу работ, следовательно экономический эффект увеличивается. А значит внедрение вычислительной техники в университете становится выгодным.
Срок окупаемости капитальных затрат:
                            Тр = LСМ  / Э   =   59994/65400  =  0,9 года
Следователь в течении 9 месяцев с момента начала эксплуатации АИС окупится затраты на ее разработку. Это значительно небольшой срок по сравнению с эффектом, который мы получим при внедрении вычислительной техники.
Таблица 13 Сводная таблица технико-экономических показателей
№ Перечень показателей Единица измерения   Данные. 1 2 3 4 1

2

3
 
4
 
5
 
6
 
7
8
9
10

11
Численность рабочих
Выработка на 1 рабочего в смену
Процент повышения
производительности труда
Затрата времени на исследование АРМ
Суммарная сдельная расценка на за исследование АРМ
Процент снижения себестоимости исследования предложения
Прибыль
Рентабельность
Затраты на 1 руб. на исследование АРМ

Полная себестоимость Чел.

Шт.
 
%

Час
 
Руб.
 
 

%
Руб.
%
Руб.

Руб.
 120

4500

56

0,2
 
3


12

59994
15
35000

65400















Заключение

Таким образом, поставив перед собой цель, разработать проект КСЗИ в Администрации города Миасса, мною были проделаны следующие работы:
Мы рассмотрели общую характеристику объекта защиты;
Построила модель бизнес-процессов с целью выявления конфиденциальной информации;
Составила «Перечень сведений конфиденциального характера»;
Выявила угрозы, уязвимости и произвела расчет рисков для ключевых объектов защиты;
Описали техническое задание
Рассмотрели политику безопасности.
Получить теоретические знания и практические навыки в создание эффективной системы защиты информации.
Считаем, что построение АИСУ в таком образовательном учреждение, как ПГУПС необходима .


Список использованной литературы

Грибунин В.Г. Политика безопасности: разработка и реазизация// «Информационная безопасность», 2005, №1.
Демин В., Свалов В. Правовое обеспечение системы защиты информации на предприятии.
Домарев В.В. Безопасность информационных технологий. Системный подход. - К.: ООО ТИД «Диасофт», 2004. - 992 с.
Торокин А.А. «Основы инженерно-технической защиты информации». – М.:
Шиверский А.А Защита информации: проблемы теории и практика. М.: Юрист, 1996.
Ярочкин В.И. Информационная безопасность: Учебник для студентов Вузов. М.: Академический Проект; Фонд "Мир", 2003, 640 стр
Электроные ресурсы

Lubarsky A. Услуги в области защиты персональных данных. Часть третья http://www.ancud.ru/catalog/personal.html
Разработка методики защиты персональных данных в автоматизированных системах. http://journal.itmane.ru/node/280
Методы и способы защиты персональных данных в информационной системе. http://itnovelty.ru/protection-of-personal-data.html
Приложение 1

Рис. 1. Полный цикл работ по обеспечению информационной безопасности













55