Лабораторная работа №2 по Методологии оценки безопасности информационных технологий

1 Цель работы:
Изучить способы проведения оценки рисков информационной системы в программе «R-Vision: SGRC», изучить различия режимов проведения оценки, а также изучить влияние видов информации, источников угроз, их предпосылок, защитных мер на итоговые значения рисков.
Вариант задания
№ 1. Описание информационной системы
Банк «ВечностьКредитБанк»
Профиль организации: банковская деятельность.
Структура: центральный филиал в Москве и два в регионах (Сибирский в Новосибирске и Дальневосточный в Хабаровске).
Бизнес-процессы:
– в центральном офисе проводится Стратегическое управление,
– в Сибирском офисе проводится Обслуживание клиентов,
– в Дальневосточном офисе проводится Исследования и разработки.
Информационные активы:
– в процессе Стратегического управления используются Сведения о планировании (для внутреннего использования);
– в процессе Обслуживания клиентов используется Информация о банковских счетах, вкладах и операциях клиентов-физических лиц (банковская тайна);
– в процессе Исследований и разработки используются Сведения о процессах обработки и передачи информации.
Домен: creditforever
Персонал:
– в центральном филиала – 1 директор, 1 руководитель филиала, 1 советник директора по экономическому планированию, 1 риск-менеджер, 1 маркетолог, 1 бренд-менеджер, 2 системных администратора;
– в сибирском филиале – 1 руководитель филиала, 3 бухгалтера, 3 оператора кассового зала, 1 офис-менеджер;
– в дальневосточном филиале – 1 руководитель филиала, 1 инженер-проектировщик, 2 программиста, 1 тестировщик.
Помещения:
– центральный филиал состоит из трех помещений (2 рабочих офисных помещения, 1 помещение типа «Серверная»),
– сибирский офис состоит из одного помещения в торговом центре, дальневосточный офис состоит из одного помещения в бизнес-центре.
Оборудование:
21 рабочая станция с операционной системой Windows 7 для каждого работника и 2 ноутбука с операционной системой MacOS для директора и советника директора.
Состав Серверной центрального филиала:
– кластер СУБД Oracle (4 Серверных машины);
– сервер АС CRM-МегаКлиент;
– сервер АС «Сотрудники и Хозяйство»;
– сервер АСЦФТ-Банк;
– сервер Windows Server 2008 (ActiveDirectory).
Все АС используют в качестве СУБД OracleDatabase. Учетные записи всех АС синхронизированы с учетными записями ActiveDirectory.
Административные права имеют только 2 системных администратора,
обслуживающие ЦОД.
Сети:
192.168.0.1-192.168.0.125 – подсеть главного филиала
192.168.1.1-192.168.1.125 – подсеть Сибирского филиала
192.168.2.1-192.168.2.125 – подсеть Дальневосточного филиала
Инциденты:
– Сбой / отказ в работе программного обеспечения в дальневосточном филиале.
– Нецелевое использование ресурсов организации в центральном филиале.
– Ошибочные действия персонала в сибирском филиале.
Документы по ИБ, утвержденные в компании:
– «Политика оценки рисков ИБ», применяемая при планировании;
– «Инструкция оператора кассового зала по работе с информацией, содержащей банковскую тайну», применяемая в сибирском филиале;
– «Регламент жизненного цикла ПО» используемый при разработке ПО.
Защитная мера: добавьте защитную меру для актива «Сведения о планировании».
Замечания:
– при стратегическом управлении не проводится оценка рисков ИБ;
– при обслуживании клиентов информация на бумажных носителях, содержащая сведения о счетах клиентов, уничтожается ненадлежащим образом;
– при исследованиях и разработки выполняются не все требования документа «Регламент жизненного цикла ПО».
Задача: разработать Политику ИБ.
Оценка рисков проводится для актива «Информация о банковских счетах, вкладах и операциях клиентов-физических лиц (банковская тайна)».
Источники угроз: выберите источники из категории «Внутренние антропогенные источники».
Предпосылки: выберите предпосылки из категории «Предпосылки, связанные с действиями персонала».
Защитные меры, указываемые при оценке риска: выберите меры из категории «Управление активами».
Мероприятия по обработке рисков:
Для риска №1 – Внедрение защитной меры. Выберите меру с высокой степенью эффективности.
Для риска №2 – Уход от риска с низкой степенью эффективности.
Для риска №3 – Передача риска со средней степенью эффективности.

Уважаемый студент, дистанционного обучения,
Оценена Ваша работа по предмету: Методология оценки безопасности информационных технологий
Вид работы: Лабораторная работа 2
Оценка:Зачет
Дата оценки: 15.03.2018