Загрози та засоби безпеки комп'ютерних інформаційних систем підприємства при проведенні аудиту

План лекції:

1. Особливості роботи аудитора при застосуванні КІСП
2. Загрози функціонування

І

Проведення аудиту в умовах КІСП регламентується МСА
№ 401 «Аудит у

Аудитор зобов'язаний мати уявлення про:

значимість і склад-
ність процесів функціонування КІСП
доступність

Аудитор зобов'язаний:

1) мати уявлення про технічний, програмний, математичний та інші

Вимоги до програмного забезпечення

— забезпечення безперервного і безпо-милкового виконання перед-бачених функцій

Згідно з Законом України «Про захист інформації в автоматизованих системах»: “порушення

Виходячи з визначення, існують такі такі загрози функціонуванню інформаційної системи:

Збирання інформації

1

Помилкова

Обробка інформації

2

Помилки в алгоритмах

Навмисне викривлення алгоритмів

Помилки в
програмних
алгоритмах

При неправильному складанні програ-містом алгоритму часто повторюваних розрахунків

Зберігання інформації

3

Навмисне знищення

Ненавмисне знищення

Перепади живлення

Порушення
цілісності

При поданні інформації у формі великої бази даних існує ризик

Надання інформації

4

Порушення каналу зв'язку

Перехоплення повідомлення

Порушення
конфіден-
ційності

Можливий витік або несанкціонована зміна інформації
(в т.ч. конфіденційної)

Вимоги до інформації:

конфіденційність — забезпечення надання доступу до інформації тільки уповноваженим

ЗАГРОЗИ, що призводять до порушення вимог щодо інформації:

1. Витік інформації

результат дій

3. Підробка інформації

навмисні дії, що призводять до перекручення інформації, яка повинна

Класи загроз безпеці інформації:

Ненавмисні

Навмисні

некваліфіковані дії працівників

неуважність користувачів або адміністрації

вихід з ладу апаратних засобів

вихід з

АКТИВНІ

Навмисні

ПАСИВНІ

мають на меті завдання збитку користувачам інформаційної системи.

АКТИВНІ -

порушення нормального процесу функціонування КІСП шляхом цілеспрямова-ного впливу на

ПАСИВНІ -

спрямовані на несанкціоно-ване використання інформа-ційних ресурсів системи, не порушуючи

ЗАСОБИ забезпечення безпеки КІСП

Засоби попередження порушень безпеки

Засоби виявлення порушень безпеки

Профілактичні

Апаратне
забезпечення

Програмне
забезпечення

Інформація

регулярні технічні огляди
2) оновлення апаратних засобів
3) фізичний захист від

Шифрування — процес, в результаті якого інформація змінюється таким чином, що

Ідентифікація дає змогу впізнати користувача системи

Аутентифікація — це процес достовірної

Підходи до аутентифікації:

Використання чогось, що знає користувач

Використання чогось, що має

Моніторингові

Апаратне
забезпечення

Програмне
забезпечення

Інформація

ведення журналів роботи обладнання та технічних оглядів
2) автоматизація обробки надзвичайних

Коригувальні

Апаратне
забезпечення

Програмне
забезпечення

Інформація

страхування апаратного забезпечення
2) передбачення додаткових потужностей

1) регулярне резервне

Політика безпеки — це набір правил і норм, які визначають, як

До політики безпеки входять:

планування непередбачуваних ситуацій та стихійних лих (ненавмисних

V

П-ство

Аудиторські фірми

Спільноти фахівців із захисту інформації

Фірми, що надають послуги з інф.

Головний суб'єкт – підприємство.
Інтерес, що виявляється до фірми, прямо пропорційний ступеню

Хакери.
Вчений М. Кілджер розробив класифікацію мотивацій хакерів, яку назвав МЕЕСЕS:

Хакери завдають
пряму шкоду (злам КІС, порушення їх роботи, викрадення і

Спільноти фахівців із захисту інформації
1) розробляють стандарти інформаційної безпеки для різних

Аудиторські фірми

1) оцінюють ризики злому системи;
2) тестують інформаційну безпеку підприємства.

Держава представлена:

Орг-ції І типу

Орг-ції ІІ типу

науково-дослідні установи, які займаються теорет. і

Орг-ції І типу

науково-дослідні установи

Результат роботи - технічні документи рекомен-дації, довідники,

Орг-ції ІІ типу

спеціальні підрозділи силових відомств

стежити за дотриманням законодавства у

Департамент спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України (2000

1) визначає порядок та вимоги щодо захисту інформації;
2) здійснення державного контролю

VІ

Нормативно-правове регулювання інформаційної
безпеки

«Про інформацію»;
«Про захист інформації в автоматизованих

Про технічний захист інформації

Положення

Концепція технічного захисту інформації в Україні

визначає основні

Розділ XVI Кримінального кодексу
«Злочини у сфері використання електронно-обчислювальних машин (комп'ютерів),

Незаконне втручання в роботу ЕОМ (комп'ютерів)

Викрадення, привласнення, вимагання інформації або

Відповідальність

Наслідки

перекручення чи знищення комп'ютерної інформації або носіїв такої інформації, а також

Відповідальність

Наслідки

штраф від 50 до 200 неоп. мінімумів доходів громадян або виправні

Відповідальність

Наслідки

Необережність, що призвела до незаконного копіювання комп'ютерної інформації

штраф до 50