Реферат на тему: Аналіз змісту нормативного документу ” Типове положення про службу захисту інформації в автоматизованій системі “

Виконала: студентка БСД – 41

1. 
   Розглянути зміст нормативного документу ”Типове положення про службу захисту інформації в автоматизованій системі “ з точки зору СУІБ Матриця.
   
2. 
   Визначити завдання, функції штатної структури служби захисту інформації (СЗІ), повноваження та відповідальність співробітників служби.
   

1. 
   Перелік документів.........................................................................................................................3
   
2. 
   Аналіз документів відповідно етапам функціонування СУІБ Матриця
   
   1. 
      Визначення напрямків, об’єктів, активів...............................................................................3
      
   2. 
      Визначення загроз...............................................................................................................5
      
   3. 
      Визначення ризиків.............................................................................................................5
      
   4. 
      Аналіз ризиків......................................................................................................................7
      
   5. 
      Визначення вимог...............................................................................................................8
      
   6. 
      Визначення співробітників..................................................................................................9
      
   7. 
      Визначення засобів та заходів...........................................................................................10
      
3. 
   Висновок...................................................................................................................................14
   

1. 
   Перелік документів що використовуються:
   

1. 
   НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації в
   

2. 
   НД ТЗІ 1.1-003-99 Термінологія в галузі захисту інформації в комп’ютерних системах від несанкціонованого доступу
   

2. 
   Аналіз документів відповідно етапам функціонування СУІБ Матриця.
   
   1. 
      Визначення напрямків, об’єктів, активів
      

• 
  правовому;
  
• 
  організаційному;
  
• 
  технічному.
  

• 
  системи нормативно-правового забезпечення робіт з захисту інформації в АС (організації);
  
• 
  підтримки керівництвом організації заходів з забезпечення безпеки інформації в АС (організації), виконання правових та (або) договірних вимог з захисту інформації, визначення відповідальності посадових осіб, організаційної структури, комплектування і розподілу обов'язків співробітників СЗІ;
  
• 
  процедур доведення до персоналу і користувачів АС основних положень політики безпеки інформації, їхнього навчання і підвищення кваліфікації з питань безпеки інформації;
  
• 
  системи контролю за своєчасністю, ефективністю і повнотою реалізації в АС рішень з захисту інформації, дотриманням персоналом і користувачами положень політики безпеки.
  

• 
  застосування режимних заходів на об’єктах АС;
  
• 
  забезпечення фізичного захисту обладнання АС, носіїв інформації, інших ресурсів;
  
• 
  організації проведення обстеження середовищ функціонування АС;
  
• 
  порядку виконання робіт з захисту інформації, взаємодії з цих питань з іншими суб’єктами системи ТЗІ в Україні;
  
• 
  виконання робіт з модернізації АС (окремих компонентів);
  
• 
  регламентації доступу сторонніх користувачів до ресурсів АС;
  
• 
  регламентації доступу власних користувачів і персоналу до ресурсів АС;
  
• 
  здійснення профілактичних заходів (наприклад, попередження ненавмисних дій, що призводять до порушення політики безпеки, попередження появи вірусів та ін.);
  
• 
  реалізації окремих положень політики безпеки, найбільш критичних з точки зору забезпечення захисту аспектів (наприклад, організація віддаленого доступу до АС, використання мереж передачі даних загального користування, зокрема Internet, використання несертифікованого ПЗ та ін.).
  

• 
  інженерно-технічне обладнання виділених приміщень, в яких розміщуються компоненти АС, експлуатація і супроводження засобів блокування технічних каналів витоку інформації;
  
• 
  реєстрація санкціонованих користувачів АС, авторизація користувачів в системі;
  
• 
  керування доступом до інформації і механізмів, що реалізують послуги безпеки, включаючи вимоги до розподілу ролей користувачів і адміністраторів;
  
• 
  виявлення і реєстрація небезпечних подій з метою здійснення повсякденного контролю або проведення службових розслідувань;
  
• 
  перевірка і забезпечення цілісності критичних даних на всіх стадіях їхньої обробки в АС;
  
• 
  забезпечення конфіденційності інформації, у тому числі використання криптографічних засобів;
  
• 
  резервне копіювання критичних даних, супроводження архівів даних і ПЗ;
  
• 
  відновлення роботи АС після збоїв, відмов, особливо для систем із підвищеними вимогами до доступності інформації;
  
• 
  захист ПЗ, окремих компонентів і АС в цілому від внесення несанкціонованих доповнень і змін;
  
• 
  забезпечення функціонування засобів контролю, у тому числі засобів виявлення технічних каналів витоку інформації.
  

1. 
   акусто-електричне перетворення інформаційних сигналів
   

2. 
   аналіз трафіку
   

3. 
   використання (шантаж, підкуп тощо) з корисливою метою персоналу АС;
   

4. 
   впровадження і використання забороненого політикою безпеки ПЗ
   

5. 
   впровадження і використання комп’ютерних вірусів
   

6. 
   закладні (апаратні і програмні) та підслуховуючі пристроїв,
   

7. 
   збої і відмови у роботі обладнання та технічних засобів АС
   

8. 
   зміна атрибутів розмежування доступу
   

9. 
   крадіжки носіїв інформації, виробничих відходів (роздруків, записів, тощо);
   

10. 
    навмисні дії (спроби) потенційних порушників.
    

11. 
    наслідки некомпетентного застосування засобів захисту;
    

12. 
    наслідки помилок під час проектування та розробки компонентів АС
    

13. 
    неправомірна зміна режимів роботи АС (окремих компонентів, обладнання, ПЗ тощо)
    

14. 
    неправомірне підключення до каналів зв’язку
    

15. 
    несанкціоноване використання ПЗ
    

16. 
    несанкціоноване копіювання носіїв інформації;
    

17. 
    одержання атрибутів доступу з наступним їх використанням для маскування під зареєстрованого користувача
    

18. 
    перехоплення даних
    

19. 
    розголошення конфіденційних відомостей
    

20. 
    руйнування апаратних, програмних, інформаційних ресурсів
    

21. 
    читання залишкової інформації з оперативної пам’яті ЕОМ, зовнішніх накопичувачів;