анализ архитектуры защиты информации на предприятии на примере конкретного предприятия

Цель этой работы заключается в проведении анализа архитектуры защиты информации на предприятии на примере конкретного предприятия.

Коммерческая тайна и элементы коммерчески значимой информации Бумажные и электронные документы, базы данных Несанкционированное копирование, визуальный съем данных, утечка по каналам связи, утеря, хищение, стихийное бедствие, утечка по аудиоканалам, вирусная активность Прямые убытки организации, штрафные санкции
Ключи электронной подписи Flash-накопители, реестр операционной системы Утеря, хищение, вирусная активность Доступ злоумышленника к электронным документам
Данные об архитектуре АИС Бумажные и электронные документы, сетевые операционные системы Несанкционированное копирование, утечка по каналам связи, хищение, стихийное бедствие, вирусная активность Доступ злоумышленника к данным о защите АИС
Аппаратное обеспечение АИС Серверы, рабочие станции, накопители Утеря, хищение, стихийное бедствие Получение доступа к данным

Таким образом, рассмотрев вопросы определения объектов защиты информации, можно сделать следующие выводы:
- информационные активы в настоящее время являются стратегическими в большинстве организаций;
- существующее законодательство позволяет определять объекты защиты, соответствующие им модели угроз и злоумышленников;
- построение архитектуры защиты информации и определение объектов производится по результатам аудита информационной системы.
Далее рассмотрим пример классификации объектов защиты информации на примере конкретного предприятия.

В рамках данной работы мной были рассмотрены теоретические основы и нормативная база работы с объектами защиты информации. Определен перечень информации, отнесенной к разряду классификации объектов защиты информации, перечень документов, образующихся в работе организации, работающих с объектами информационной безопасности. Рассмотрена классификация типов конфиденциальной информации по методике ФСТЭК, защищенности автоматизированных информационных систем, проанализировано документационное и организационное обеспечения выполнения требований законодательства относительно определенного класса конфиденциальности информации.
В практической части работы аудит объектов защиты информации на примере структуры ИП Литвинова, на основании полученных результатов даны рекомендации по совершенствованию системы защиты информации
Проведен анализ организации процесса защиты информации и определение объектов информационной безопасности применительно к структуре ИП Литвинова. Определены бизнес-процессы организации, связанные с обработкой персональных данных. Приведена модель угроз безопасности конфиденциальной информации, для каждого из типов угроз объектам защиты сопоставлено технологическое и организационное решение. Также в рамках данной работы проанализирован перечень документов, обеспечивающих организационно-технические меры по защите персональных данных, рассмотрены технологические решения в виде программно-аппаратных средств. В соответствии с требованиями, предъявляемыми законодательством к данному классу информационных систем необходимо проведения ряда организационных мер по защите персональных данных. Необходимо наличие документационного обеспечения согласно перечню, утвержденному действующим законодательством. Согласно данным требованиям проведен анализ имеющегося документационного обеспечения, а также организационных и технологических мер по защите персональных данных. Показано, что документационное и программно-техническое обеспечение работы с персональными данными соответствует требованиям действующего законодательства. Показано, что действующая информационная система ИП Литвинова не имеет целостного подхода к защите информационных ресурсов – политики защиты информации на каждом информационном ресурсе уникальны, что увеличивает трудозатраты специалистов на выполнение требований защиты информации, снижая общую защищенность системы.
Итогом работы над проектом стало проведение аудита системы информационной безопасности предприятия, по результатам которого сформулированы рекомендации к совершенствованию защищенности информационной системы.