Анализ соответствия требованиям по защите информации и выбор метода к повышению ее безопасности

Необходимо проанализировать систему информационной безопасности ОАО «Альфапроект» на соответствия требованиям выставляемым АС класса защищенности от НСД. Для этого необходимо сопоставить СЗИ, используемые на предприятии, с требованиями к подсистемам СЗИ АС от НСД. Более наглядно это будет выглядеть в виде таблицы (таблица 2.5).

Таблица 2.5 – Анализ системы информационно безопасности в ОАО «Альфапроект»

После рассмотрения удовлетворения требований к АСОД ОАО «Альфапроект» от несанкционированного доступа выявлено, что требования выставляемые АС данного класса не удовлетворяются в полной мере, а именно:

1. Отсутствие периодического тестирования средств защиты информации от несанкционированного доступа. Из данной проблемы вытекает невозможность своевременно определить недостатки системы информационной безопасности

2. Уязвимость в подсистеме управления доступом. Контроль доступа субъектов к томам, каталогам, файлам, записям, полям записей, проходит не корректно. Проблемы наследования прав доступа к томам, каталогам, файлам, записям, при создании сетевой папки на файловом сервере конкретного работника АС.

Система информационной безопасности не соответствует полностью требованиям по защите информации от несанкционированного доступа в полной мере для предприятия данного типа. Таким образом, система информационной безопасности ОАО «Альфапроект» нуждается в модернизации.

Первый недостаток системы не так существенен, для его решения достаточно установить специальное ПО для тестирования СЗИ.

Для решения второй проблемы необходимо рассмотреть возникновение недостатка СЗИ обеспечивающего контроля доступа субъектов к томам, каталогам, файлам, записям и полям записей. Данный контроль выполняет служба каталогов АD.

Данный недостаток заключается в следующем: для безопасной работы с информацией в ОАО «Альфапроект» используется единый файловый сервер, на котором хранится вся обрабатываемая информация, на данном сервере создана структура каталогов, повторяющая структурную организацию предприятия, т.е. для каждого отдела ОАО «Альфапроект» создан отдельный каталог, в который входят личные каталоги сотрудников предприятия. Личные каталоги сотрудников – сетевой диск, подключенный под учетной записью сотрудника с его же собственной рабочей станцией. Проблема заключается в том, что при создании сетевого диска права доступа не всегда корректно наследуются на данный ресурс. А это может повлечь за собой ряд уязвимостей данного ресурса.

Пользователи, не являющиеся владельцем ресурса, получают полные права на данный ресурс, т.е. могут его читать, записывать в него новые документы, изменять ресурс. Данные действия могут привести к модификации, потере информационного ресурса, или даже к незаконному копированию.

Чтобы избежать подобного рода событий необходимо проверять права доступа на каждый каталог на файловом сервере и исправлять несоответствия. Если этих каталогов не больше 10 то этот процесс займет незначительное время, приблизительно один рабочий день, но если их количество около 100, то данный процесс займет большое количество времени. К тому же назначение прав необходимо проводить во время отсутствия запросов к ресурсам, т.е. наилучшим временем является нерабочее время. Поэтому средствами ОС в данном случае не обойтись. Поэтому возникает необходимость в разработке программного средства обеспечивающего автоматическое разграничение прав доступа пользователей и групп к ресурсам файлового сервера. Необходимо также учесть что все сотрудники состоят в групповых политиках АD.