Анализ рисков информационной безопасности с помощью построения модели информационных потоков

Лабораторная работа № 1
Анализ рисков информационной безопасности с помощью построения модели информационных потоков

1. Цель работы: рассмотреть методику анализа рисков информационной безопасности с помощью построения модели информационной системы организации, средства защиты ресурсов с ценной информацией, взаимосвязь ресурсов между собой, влияние прав доступа групп пользователей, организационные меры, модель защищенности каждого вида информации. Реализовать методику средствами Excel.
4. Задание на лабораторную работу
В результате выполнения работы:
1. провести инвентаризацию ресурсов;
2. Рассчитать значения риска для каждого ценного ресурса организации;
3. Рассчитать значения риска для ресурсов после задания контрмер (остаточный риск);
4. Проанализировать эффективность контрмер;
5. Дать рекомендации.
5. Порядок выполнения работы
1. Ознакомиться с примером ручного расчета рисков информационной системы на основе модели информационных потоков;
2. Согласно варианту в Приложении 1 к лабораторным работам найти необходимые данные для своей ИС.
3. Вручную рассчитать риск ИС.
4. Реализовать алгоритм анализа рисков на основе модели информационных потоков в программе Excel.
6. Содержание отчета
Отчет по лабораторной работе должен содержать:
• данные и результаты ручного расчета;
• обоснование выбора эффективности специфичных средств защиты;
• экранные формы процесса выполнения работы;
• краткие отчеты программы до и после введения контрмер;
• анализ рисков в ИС по отчетам;
• выводы.
Вариант 1.
Исходные данные:
Информационная система состоит из двух ресурсов: сервер и рабочей станции, которые находятся в одной сетевой группе. На сервере хранятся: бухгалтерский отчет и база Клиентов. На рабочей станции – база данных наименований товаров.
К серверу локальный доступ имеет группа пользователей: главный бухгалтер
К серверу удаленный доступ имеют группы пользователей (ко второй информации – база клиентов): бухгалтер (с рабочей станции), финансовый директор (через сеть Интернет)
К рабочей станции локальный доступ имеет группа пользователей (к базе данных наименований товаров): бухгалтер.
Средства защиты сервера:
Средство защиты Вес средства защиты
Средства физической защиты
Контроль доступа в помещение, где расположен ресурс 25
Средства локальной защиты
Отсутствие дисководов и USB портов 10
Средства корпоративной сетевой защиты
Межсетевой экран 10
Обманная система 2
Система антивирусной защиты на сервере 10
Средства резервирования и контроля целостности
Аппаратная система контроля целостности 20
1.1 .Средства защиты первой информации (бухгалтерский отчет):
Средство защиты Вес средства защиты
Средства локальной защиты
Средства криптографической защиты (криптозащита данных на ПК) 20
Средства резервирования и контроля целостности
Резервное копирование 10
Программная система контроля целостности 10
1.2. Средства защиты второй информации (база клиентов Компании):
Средств защиты информации нет.
2. Средства защиты рабочей станции:
Средство защиты Вес средства защиты
Средства физической защиты
Контроль доступа в помещение, где расположен 10
Средства локальной защиты
Отсутствие антивирусной защиты (антивирусный монитор) 10
Отсутствие дисководов и USB портов 10
Средства персональной сетевой защиты
Персональный межсетевой экран 3
Система криптозащиты электронной почты 10
2.1 .Средства защиты информации (база данных наименований товаров Компании с их описанием):
Средство защиты Вес средства защиты
Средства резервирования и контроля целостности
Резервное копирование 10
Программная система контроля целостности 10
3. Средства защиты клиентского места группы пользователей:
3.1. Средства защиты клиентского места бухгалтера (группа обычных пользователей)
Средство защиты Вес средства защиты
Средства физической защиты
Контроль доступа в помещение, где расположен ресурс 10
Средства локальной защиты
Отсутствие антивирусной защиты (антивирусный монитор) 10
Отсутствие дисководов и USB портов 10
Средства персональной сетевой защиты
Персональный межсетевой экран 3
Система криптозащиты электронной почты 10
3.2. Средства защиты клиентского места главного бухгалтера (группа обычных пользователей):
Средство защиты Вес средства защиты
Средства физической защиты
Контроль доступа в помещение, где расположен ресурс 10
Средства локальной защиты
Отсутствие антивирусной защиты (антивирусный монитор) 10
Отсутствие дисководов и USB портов 10
Средства персональной сетевой защиты
Персональный межсетевой экран 3
Система криптозащиты электронной почты 10

3.3. Средства защиты клиентского места финансового директора (группа авторизованных Интернет – пользователей):
3.3.Средства защиты клиентского места финансового директора (группа авторизованных Интернет-пользователей):
Средства защиты клиентского места групп авторизованных Интернет-пользователей невозможно оценить, т.к. неизвестно, откуда будут осуществлять доступ пользователи этой группы.
Задание:
1. Определить взаимосвязи «субъект – объект»
2. Определить права доступа: при локальном доступе – чтение, запись, удаление
При удаленном доступе – чтение или чтение, запись
3. Определить наличие выхода в Интернет, VPN - соединения
4. Оценить риск информации по угрозе целостности
(Риск информации оценивается по каждой взаимосвязи «субъект – объект»)
5.Ущерб от реализации угроз по каждой угрозе оценить в 100 у.е.
1. Входные данные:
Например, информационная система Компании состоит из двух ресурсов: сервера и рабочей станции, которые находятся в одной сетевой группе, т.е. физически связанны между собой. На сервере хранятся виды информации: бухгалтерский отчет и база клиентов Компании. На рабочей станции расположена база данных наименований товаров Компании с описанием.
К серверу локальный доступ имеет группа пользователей (к первой информации - бухгалтерский отчет):
• главный бухгалтер.
К серверу удаленный доступ имеют группы пользователей (ко второй информации - база клиентов Компании):
• бухгалтер (с рабочей станции);
• финансовый директор (через глобальную сеть Интернет).
К рабочей станции локальный доступ имеет группа пользователей (к базе данных наименований товаров Компании с описанием):
• бухгалтер.
По правилам работы модели бухгалтер при удаленном доступе к серверу является группой обычных пользователей, а финансовый директор - группой авторизованных пользователей. При чем, бухгалтер имеет удаленный доступ к серверу через коммутатор.
1. Средства защиты:
Средство защиты Вес средства защиты
Средства физической защиты