1100

Контрольная работа и Лабораторные работы №№(1-2) по дисциплине: Планирование и управление информационной безопасностью. Вариант №1

ID: 222101
Дата закачки: 25 Ноября 2021
Продавец: IT-STUDHELP (Напишите, если есть вопросы)
    Посмотреть другие работы этого продавца

Тип работы: Работа Лабораторная
Форматы файлов: Microsoft Word
Сдано в учебном заведении: СибГУТИ

Описание:
Контрольная работа по дисциплине «Планирование и управление информационной безопасностью»

Вариант 01.
Объект исследования: международный аэропорт (АО «Аэропорт Толмачево»);

-сбор и анализ актуальных нормативных документов из открытых источников в соответствии с заданием;
-осуществление выбора критериев для оценки степени соответствия сформированным актуальным требованиям по обеспечению информационной безопасности организации (далее просто соответствия);
-разработка опросных листов для оценки соответствия;
-разработка процедуры оценки соответствия;
-разработка перечня мер по реализации сформированных требований безопасности.


Лабораторная работа № 1


Знакомство с возможностями программного комплекса Microsoft Security Assessment Tool (MSAT)

Цель: Ознакомиться и получить практические навыки работы с программным продуктом для оценки рисков.

1.3 Порядок выполнения

Для проведения работы необходимо определиться с конкрет-ной организацией для получения осмысленного результата. Пред-лагается за основу взять организацию, в которой вы работаете, но можно и любую другую, главное обладать нужной информацией. Начинать следует с описания в отчете всех ключевых параметров организации, касающихся информационной безопасности: краткая характеристика деятельности, приблизительная структура сети, со-став и структуру информационной системы, процессы, обеспечи-вающие основную деятельность организации, особенности органи-зации процесса защиты информации, применяемые методы и сред-ства защиты и прочее. Все это важно и влияет на получаемый ре-зультат (диаграмма и таблицы с индикацией).
Далее можно перейти к выполнению работы следует скачать и установить данный программный продукт, что можно сделать по указанной ссылке и скачать с сайта Microsoft программу http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=cd057d9d-86b9-4e35-9733-7acb0b2a3ca1.
Следует обратить внимание, что поскольку информация для анализа будет отправляться на сервер Майкрософт, следу-ет учесть данный факт при наименовании проекта и небольших отклонениях от истинных значений параметров. В любом слу-чае следует избегать раскрытия конфиденциальной информа-ции.
В первой части работы с программой вы как аналитик, ответ-ственный за вопросы безопасности, отвечаете на первую группу во-просов, создавая бизнес-модель организации. В результате будут получена оценка риска для бизнеса, с которым организация сталки-вается в данной отрасли. Создается так называемый профиль рис-ка для бизнеса (ПРБ).


1.4 Содержание отчета

В отчете обязательно следует указать:
- цель работы;
- характеристика деятельности организации;
- результат индивидуального задания (диаграммы, таблицы);
- полезные рекомендации программы.
- ответы на контрольные вопросы;
- выводы по проделанной работе.


Лабораторная работа №2

Задание
Вариант № 10
Телевизионная станция «Рим»
Профиль организации: медиакомпания.


Добывающая компания «УгольГрафит».
4 Задание на выполнение

4.1 Работа с разделом «Активы»

Информационные активы – это информационные ресурсы или средства обработки информации организации (ГОСТ Р ИСО/ТО 13569 2007).
В данном разделе содержатся данные как по бизнес-активам организации (информационные активы, бизнес-процессы, персонал), так и по ИТ-активам (оборудование, ПО, сети и т.д.). Переход к тому или иному типу активов осуществляется с помощью кнопок, расположенных на верхней панели вкладки, как указано на рисунке 4.1.



4.1.1 Работа с подразделом «Организация»

Данная вкладка отображает имеющуюся штатную структуру организации, а также (при необходимости) сторонних организаций и контрагентов.
Для добавления новой организационной единицы необходимо нажать на кнопку « » и заполнить поля, расположенные справа (см. рисунок 4.2):
— наименование организационной единицы;
— тип (подразделение, филиал, контрагент);
— выбрать родительский структурный элемент;
— администратор безопасности;
— аудитор безопасности;
— краткое описание организационной единицы.
По завершении заполнения полей следует нажать на кнопку «Добавить» (см. рисунок 4.2).
Добавьте филиалы и подразделения данного филиала, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



4.1.2 Работа с подразделом «Бизнес-процесс»

Данная вкладка предназначена для ведения реестра бизнес-процессов. Для добавления нового процесса в систему необходимо нажать на кнопку « » и заполнить поля, расположенные в правой панели (см. рисунок 4.3):
— категория процесса;
— наименование процесса;
— уровень критичности процесса (условный параметр, определяющий степень критичности данного процесса);
— владелец и администратор безопасности процесса;
— аудитор безопасности процесса;
— краткое описание процесса;
— родительский бизнес-процесс (при необходимости).
По завершении заполнения полей следует отметить параметр «Проводить оценку риска» и нажать на кнопку «Добавить» (см. рисунок 4.3).
Добавьте бизнес-процессы, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.
Также для каждого созданного бизнес-процесса можно указать информационные активы, группы ИТ-активов, подразделение или организацию и требования, с которыми он связан с помощью нажатия кнопок « », « », « » и « » соответственно.
Укажите для созданных бизнес-процессов соответствующие подразделения вашей компании. Для этого выберите бизнес-процесс, нажмите на кнопку « » и выберите из списка соответствующее подразделение. Повторите данные действия для остальных бизнес-процессов вашего варианта.



4.1.3 Работа с подразделом «Информация»

Данная вкладка предназначена для ведения реестра обрабатываемой информации в организации. Для добавления нового информационного актива в систему необходимо нажать на кнопку « » и заполнить поля, расположенные в правой панели (см. рисунок 4.4):
— категория информационного актива;
— тип информационного актива;
— уровень критичности (условный параметр, определяющий степень критичности данного актива);
— владелец информации и администратор безопасности;
— аудитор безопасности;
— состав актива.
По завершении заполнения полей следует отметить параметр «Проводить оценку риска» и нажать на кнопку «Добавить» (см. рисунок 4.4).
Добавьте информационные активы, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.
Также для каждого созданного информационного актива можно указать бизнес-процессы, группы ИТ-активов, подразделение или организацию и требования, с которыми он связан с помощью нажатия кнопок « », « », « » и « » соответственно.
Укажите для созданных информационных активов соответствующие подразделения вашей компании. Для этого выберите информационный актив, нажмите на кнопку « » и выберите из списка соответствующее подразделение. Повторите данные действия для остальных информационных активов вашего варианта.
Укажите для созданных информационных активов соответствующие бизнес-процессы вашей компании. Для этого выберите информационный актив, нажмите на кнопку « » и выберите из списка соответствующий бизнес-процесс. Повторите данные действия для остальных информационных активов вашего варианта (Приложение А).




4.1.4 Работа с подразделом «Домен»

По результатам сканирования данная вкладка будет содержать информацию об обнаруженных доменах с указанием имени, количества контроллеров домена, компьютеров и пользователей.
Для добавления вручную нового домена (см. рисунок 4.5) необходимо нажать на кнопку « », ввести название и комментарий, после чего нажать на кнопку «Добавить».
Добавьте домен, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



4.1.5 Работа с подразделом «Персонал»

На данной вкладке доступен список всех пользователей, которые были обнаружены в ходе сканирования рабочих станций и серверов сети. Любой сотрудник, имеющий доступ к тем или иным информационным ресурсам должен быть зарегистрирован в системе. Также, могут быть зарегистрированы и «технологические пользователи», необходимые для работы и обслуживания АС. При добавлении нового сотрудника или при изменении имеющейся записи необходимо указать следующую информацию (см. рисунок 4.6):
— ФИО;
— логин и адрес электронной почты;
— телефон, должность и принадлежность к объекту организационной структуры;
— домен / рабочая группа;
— дату последнего визита (выставляется автоматически на основании результатов инвентаризации);
— теги и комментарии.
По завершении заполнения полей следует нажать на кнопку «Добавить» (см. рисунок 4.6).
Добавьте персонал, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



4.1.6 Работа с подразделом «Помещения»

Для добавления в систему нового помещения и последующего использования его при визуализации размещения оборудования необходимо нажать на кнопку « » (см. рисунок 4.7), и указать следующую информацию:
— наименование и описание помещения;
— принадлежность к объекту организационной структуры;
— город, адрес и номер помещения.
По завершении заполнения полей необходимо нажать на кнопку «Добавить» (см. рисунок 4.7).
Добавьте помещения, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



4.1.7 Работа с подразделом «Оборудование»

В данном разделе имеется возможность добавления оборудования, используемого компанией с помощью сканирования или вручную.
Для добавления нового оборудования в систему необходимо нажать на кнопку « » и заполнить поля, расположенные в правой панели (см. рисунок 4.8):
— имя устройства;
— домен/рабочая группа;
— операционная система;
— тип узла;
— статус;
— владелец актива;
— администратор безопасности;
— аудитор безопасности;
— город и помещение;
— принадлежность к объекту организационной структуры;
— комментарий.
По завершении заполнения полей следует нажать на кнопку «Добавить» (см. рисунок 4.8).
Добавьте оборудование, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



4.1.8 Работа с подразделом «ПО»

Данный раздел содержит информацию обо всем обнаруженном во время сканирования и установленном на устройствах программном обеспечении (далее – ПО). Для добавления нового ПО (см. рисунок 4.9) необходимо указать:
— название и версию,
— количество инсталляций,
— группу ПО,
— комментарии,
— количество лицензий и срок истечения лицензии.
По завершении заполнения полей следует нажать на кнопку «Добавить» (см. рисунок 4.9).
Добавьте ПО, в соответствии с вашим вариантом и информацией об оборудовании, приведенной в Приложении А.



4.1.8 Работа с подразделом «Сети»

Данная вкладка отображает перечень сетей, добавленных в систему вручную, либо обнаруженных системой в ходе сканирования. Для того чтобы добавить новую сеть, необходимо нажать на кнопку « », указать имя сети, адрес, маску, соответствующий коллектор, выбрать параметры сканирования «Не сканировать» и нажать на кнопку «Добавить» (см. рисунок 4.10).
Добавьте сети, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



4.2 Работа с разделом «Инциденты»

Данный раздел (см. рисунок 4.11) содержит информацию обо всех зарегистрированных в системе инцидентах ИБ, а также предоставляет набор инструментов для управления инцидентами ИБ в организации.



Для создания нового инцидента ИБ необходимо во вкладке «Инциденты» (см. рисунок 4.12) нажать на кнопку « » и из выпадающего меню выбрать тип инцидента:
— инцидент, связанный с переводом денежных средств;
— общий инцидент;
— общий инцидент подробно;
— новый шаблон.
Далее в появившейся форме необходимо заполнить поля:
— тип инцидента;
— статус инцидента;
— ответственный и кем выявлен инцидент (самостоятельно, клиентами оператора по переводу денежных средств, банковским агентом, ОЦ);
— уровень инцидента;
— дата и время выявления инцидента (автоматически устанавливается время на момент создания записи об инциденте);
— дата и время возникновения инцидента;
— плановая дата и время устранения инцидента;
— количественная (в рублях) и качественная оценка ущерба, нанесенного в результате реализации инцидента;
— краткое описание инцидента.
По завершении заполнения полей следует нажать на кнопку «Добавить инцидент» (см. рисунок 4.12).
Добавьте инциденты, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



После того как вы укажите ответственного за инцидент, необходимо, в соответствии с жизненным циклом инцидента, перевести его статус в состояние «Назначен».
Также в правой части экрана находится группа элементов, обеспечивающая переход к вкладкам:
— дополнительные поля;
— территориальные подразделения;
— бизнес-процессы;
— объекты инфраструктуры;
— типы информации;
— причины возникновения;
— нарушители;
— предпринятые действия;
— комментарии;
— связанные инциденты;
— рабочая группа;
— свидетельства;
— уведомления;
— история;
— сформировать отчет.
Переведите статус инцидента в состояние «Обработка» и укажите для созданного инцидента дополнительные параметры. Для этого выберите инцидент, нажмите на кнопку « », и заполните поля «Негативное воздействие» и «Предполагаемый финансовый ущерб».
Укажите для созданных инцидентов соответствующие подразделения, с которыми связан инцидент. Для этого выберите инцидент, нажмите на кнопку « », и отметьте необходимые подразделения.
Укажите для созданных инцидентов соответствующие бизнес-процессы, с которыми связан инцидент. Для этого выберите инцидент, нажмите на кнопку « », и отметьте необходимые бизнес-процессы.
Укажите для созданных инцидентов соответствующие объекты инфраструктуры (группы ИТ-активов или оборудование), с которыми связан инцидент. Для этого выберите инцидент, нажмите на кнопку « », перейдите в фильтр «Оборудование», нажмите на кнопку «Добавить» и выберете необходимое оборудование.
Укажите для созданных инцидентов соответствующие типы информации, с которыми связан инцидент. Для этого выберите инцидент, нажмите на кнопку « », и отметьте необходимые типы информации.
После этого переведите статус инцидента в «Расследование» и укажите соответствующие причины возникновения, с которыми связан инцидент. Для этого выберите инцидент, нажмите на кнопку « », и отметьте необходимые причины.
Укажите для созданных инцидентов соответствующих нарушителей, с которыми связан инцидент. Для этого выберите инцидент, нажмите на кнопку « », нажмите на кнопку «Добавить» и выберете соответствующие учетные записи нарушителей.
Укажите для созданных инцидентов действия, которые предприняты по реагированию на данный инцидент. Для этого выберите инцидент, нажмите на кнопку « », нажмите на кнопку «Добавить» и заполните следующие поля:
— тип (выбрать из выпадающего списка);
— наименование;
— исполнитель;
— дату и время выполнения;
— описание действия.
После этого инцидент считается закрытым и его статус необходимо перевести в значение «Закрыт».
По завершении заполнения полей следует нажать на кнопку «Сохранить».
Обработайте остальные инциденты из вашего варианта по жизненному циклу инцидентов ИБ.

4.3 Работа с разделом «Система защиты»

Данный раздел содержит основные сведения о применяемых технических и организационных мерах по обеспечению информационной безопасности в компании. Данный раздел состоит из двух подразделов «Документы» и «Защитные меры», работа в которых проводится независимо друг от друга.

4.3.1 Работа с подразделом «Документы»

В данном подразделе содержится список документов компании, регламентирующих работу компании с точки зрения обеспечения информационной безопасности.
Для добавления нового документа, необходимо нажать на кнопку « » и заполнить следующую информацию (см. рисунок 4.13):
— тип документа (выбрать из выпадающего списка);
— наименование;
— дата утверждения;
— срок действия;
— ФИО работника, утвердившего документ;
— ФИО ответственного за документ;
— периодичность пересмотра, дату следующего пересмотра и кол-во дней, за которое необходимо уведомить ответственного о плановом пересмотре документа;
— описание документа.
По завершении заполнения полей следует нажать на кнопку «Добавить» (см. рисунок 4.13).
Добавьте документы, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



Укажите для созданного документа связанные с ним объекты (информация, подразделение/организация). Для этого выберите документ, нажмите на кнопку « », и отметьте соответствующую информацию и подразделение.

4.3.2 Работа с подразделом «Защитные меры»

В данном подразделе содержится информация о защитных мерах, реализованных (или запланированных к реализации) для защиты конкретных групп ИТ-активам и/или типов информации, обрабатываемой в компании.
Для добавления защитной меры необходимо выбрать группу ИТ-активов или информацию, нажать на кнопку « », выбрать «Типовой каталог» защитных мер (R-Vision), отметить в нем защитные меры и нажать на кнопку «Добавить» (см. рисунок 4.14).
Добавьте защитную меру, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



Укажите статус защитной меры (запланировано, модернизация, идет внедрение, внедрено). Для этого выберите защитную меру, нажмите на кнопку « » и в поле «Статус» выберите соответствующий статус. Вы можете добавить защитную меру от себя, но необходимо обоснование данного выбора и пометка в отчете по лабораторной работе (вами формируемым). Отсутствие рекомендации может быть основанием для незачтения работы.

4.4 Работа с разделом «Аудит и контроль»

В данном разделе расположен инструмент, позволяющий обеспечить внутренний контроль и оперативное уведомление о наличии проблем и (или) несоответствий с точки зрения выполнения необходимых мероприятий по обеспечению безопасности.
В подразделе «Замечания» расположен перечень всех активных замечаний (с указанием даты и времени создания, уровня критичности и статуса устранения), которые были добавлены в отношении мер защиты, реализованных на объектах инфраструктуры.
Для добавления нового замечания необходимо нажать на кнопку « » и заполнить поля, расположенные в правой панели (см. рисунок 4.15):
— дата выявления;
— наименование и описание замечания;
— уровень критичности;
— ФИО ответственного за устранение;
— срок устранения.
По завершении заполнения полей следует нажать на кнопку «Добавить» (см. рисунок 4.15).
Добавлять замечания могут либо лица, назначенные аудиторами для объекта, либо ответственными за выполнение мероприятий по защите на объекте.
Добавьте замечания, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



Укажите для созданного замечания связанные с ним объекты (подразделение/организация, бизнес-процесс). Для этого выберите замечание, нажмите на кнопку « », и отметьте соответствующее подразделение и бизнес-процесс.

4.5 Работа с разделом «Задачи»

Данный раздел предоставляет возможность осуществлять планирование и управление задачами ИБ-подразделения и содержит полный перечень всех актуальных задач.
Для добавления новой задачи необходимо в правой части вкладки «Задачи» нажать на кнопку « », ввести наименование и описание задачи, указать срок исполнения, назначить ответственного, выбрать значение важности (критическая, высокая, средняя, низкая) и при необходимости выбрать родительскую задачу. После этого необходимо нажать на кнопку «Добавить» (см. рисунок 4.16).
Добавьте задачу, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.



4.6 Работа с разделом «Риски»

Данный раздел предоставляет пользователю возможность решать задачи по управлению рисками в организации, в частности:
— сформировать модель угроз;
— провести оценку рисков, в том числе и производных рисков (в случае если риски одного актива влияют на возможность реализации рисков для другого актива);
— подготовить и отслеживать реализацию плана обработки рисков;
— оценить экономический эффект и обосновать бюджет на ИБ.
Для перехода к тому или иному функционалу в разделе «Риски» предназначены следующие подразделы:
—  «карта рисков» − осуществляет переход на панель, содержащую перечень имеющихся в организации рисков ИБ с указанием текущего и целевого уровня риска;
—  «оценки» − осуществляет переход к функционалу, реализующему процесс проведения оценки рисков ИБ от этапа создания записи до назначения экспертов и расчета оценки степени вероятности реализации и степени тяжести последствий;
— «план обработки» − осуществляет переход на панель, отражающую перечень всех мероприятий по обработке рисков, направленных на их снижение, уход или передачу.



4.6.1 Работа с подразделом «Оценки»

В общем случае процесс проведения оценки рисков с помощью системы R-Vision SGRC включает в себя следующие этапы:
1) создание новой оценки рисков с указанием области оценки и состава рабочей группы;
2) определение источников возникновения угроз, предпосылок, имеющихся защитных мер с целью идентификации рисков;
3) оценка рисков;
4) формирование плана обработки рисков;
5) формирование отчетности по результатам проведения оценки рисков;
6) фиксация результатов оценки рисков.

4.6.1.1 Создание оценки (этап 1)

Начальным этапом проведения оценки рисков ИБ является создание оценки, для чего необходимо выполнить следующие действия:
1) осуществить переход на панель «Оценки» вкладки «Риски» и нажать на кнопку « »;
2) в форме создания оценки заполнить поля:
— «наименование и описание оценки»;
— «риск-менеджер» (выбрать из выпадающего списка пользователей системы. Автоматически риск-менеджером назначается пользователь, от имени которого была создана оценка);
— «область оценки рисков» (выбрать активы организации);
3) для сохранения оценки нажать кнопку «Добавить» (см. рисунок 4.17);
4) для начала проведения оценки рисков нажать на кнопку «Открыть оценку», либо открыть оценку двойным щелком мыши по записи в общем перечне.
Добавьте оценку, в соответствии с вашим вариантом и информацией, приведенной в Приложении А.


4.6.1.2 Идентификация рисков (этап 2)

Следующим шагом является указание источников угроз, предпосылок и реализованных защитных мер для каждого актива, входящего в область оценки. Панель «Идентификация» (см. рисунок 4.18) визуально разделена на несколько областей. В левой части экрана расположена информационная область, содержащая перечень активов, входящих в область оценки рисков. Справа от нее располагается рабочее пространство необходимое для указания параметров рисков, а именно:
— «источники» − в данной вкладке для каждого актива необходимо указать возможные источники возникновения угроз;
— «предпосылки» − в данной вкладке для каждого актива необходимо указать возможные предпосылки (организационные и технические) реализации угроз безопасности;
— «защитные меры» − в данной вкладке следует указать меры защиты (организационные и технические), которые уже реализованы для защиты соответствующего актива;
— «риски» − в данной вкладке система для каждого актива отобразит возможные риски с указанием их типа (прямой, производный) и последствий.
Добавьте источники, предпосылки и защитные меры, в соответствии с вашим вариантом и информацией, приведенной в Приложении А. Комбинируйте источники, предпосылки и защитные меры таким образом, чтобы во вкладке «Риски» автоматически сформировалось не менее 3 рисков.



4.6.1.3 Оценка рисков (этап 3)

После проведения идентификации имеющихся рисков необходимо перейти на панель «Оценка» для продолжения. В основной части панели «Оценка» содержится перечень всех возможных рисков с указанием текущего и целевого уровня. Риски в данном разделе расположены по убыванию уровня (от самого высокого уровня риска к низкому). Запись, подсвеченная красным цветом, означает, что текущий уровень риска превышает допустимый уровень, установленный для актива, с которым связан данный риск.
После выбора конкретного риска из общего перечня в правой части экрана станут доступны кнопки перехода к дополнительным информативным разделам («Источники», «Предпосылки», «Защитные меры», «Инциденты») и появятся основные сведения о риске:
— категория и способ реализации риска;
— актив и нарушаемый атрибут безопасности;
— негативные последствия от реализации риска;
— тип риска;
— способ оценки: по схеме оценки, вручную или по связанным рискам (для производных рисков) или с учетом экспертного мнения;
— параметры риска (см. рисунок 4.19) с указанием текущего и целевого уровня ценности актива, эффективности защитных мер, потенциала источника угроз, вероятности реализации и уровня ущерба от реализации.



Когда для оценки по схеме необходимо задать ряд параметров вручную, необходимо нажать на кнопку «Оценка рисков», расположенную под таблицей со списком параметров риска в разделе «Общие сведения». В результате для выбранного риска появится окно (см. рисунок 4.20), в котором необходимо осуществить оценку параметров рисков, где:
— «текущее значение» – значение текущего уровня риска информационной безопасности для соответствующего способа реализации риска;
— «целевое значение» – значение уровня риска информационной безопасности для соответствующего способа реализации, который будет достигнут в случае реализации всех запланированных мероприятий по обработке риска. Если целевое значение соответствует текущему, то это означает, что в отношении данного способа реализации риска не запланировано никаких мероприятий по обработке риска, либо все запланированные мероприятия выполнены.
По завершении оценки параметров рисков необходимо нажать на кнопку «Применить» (см. рисунок 4.20).
Выберите риски, относящиеся к вашей системе, и задайте текущие значения определенным параметрам вручную. Обратите внимание, как изменение текущих значений параметров (ценность актива, эффективность защитных мер, потенциал источника угрозы, вероятность реализации, уровень ущерба) отразится на изменении текущей величины риска. Наблюдаемое можно сформулировать в качество выводов по лабораторной работе.

4.6.1.4 Обработка рисков (этап 4)

Следующим этапом является формирование плана обработки рисков. Каждый из рисков может быть обработан, т.е. для каждого риска может быть составлен план мероприятий по снижению, уходу и/или передаче риска. Для того чтобы перейти в окно обработки риска, необходимо выбрать риск на панели «Оценка» и нажать кнопку « » (см. рисунок 4.21).



Для добавления мероприятий по обработке рисков в открывшейся справа форме необходимо:
1) нажать на кнопку «Добавить» и выбрать один из представленных типов мероприятия по обработке рисков (см. рисунок 4.22);



2) для типов «Внедрение защитной меры» и «Совершенствование защитной меры» дополнительно необходимо осуществить выбор защитной меры (см. рисунок 4.23);



3) для мероприятий типа «Уход от риска» и «Передача риска» необходимо:
— указать наименование и описание мероприятия;
— после этого в панели «План обработки рисков» для данного мероприятия нажать на кнопку « », и выбрать значение уровня эффективности для нужного риска;
4) в результате данное мероприятие будет добавлено в план по обработке рисков, представленный на панели «План обработки рисков». Для добавления информации по мероприятию и, в частности, назначения ответственных за реализацию определенного мероприятия необходимо перейти в раздел сведений (кнопка « »), где будет представлены (см. рисунок 4.24):
— наименование и описание мероприятия;
— тип мероприятия по обработке рисков;
— актив;
— защитная мера (для соответствующих типов мероприятий);
— ответственный за реализацию мероприятия (необходимо выбрать из списка пользователей системы);
— даты начала реализации и завершения мероприятия;
— статус (запланировано, реализовано, в работе, отложено, отменено);
— стоимость внедрения и поддержки в год (количественное значение в валюте);
— ожидаемый период применения (в годах);
— амортизированная годовая стоимость.



Сохранение результатов оценки в общую базу рисков осуществляется нажатием на кнопку «Зафиксировать», расположенную на верхней панели вкладки «Риски». Данное действие является необратимым, и после фиксации оценки никакие данные внутри не могут быть изменены.
Выберите риски, относящиеся к вашей системе, и выберите мероприятия по их обработке, в соответствии с вашим вариантом и информацией, приведенной в Приложении А. Обратите внимание, как выбор мероприятий по обработке риском отразится на целевом уровне риска.

4.7 Работа с разделом «Отчеты»

Данная вкладка (см. рисунок 4.25) содержит перечень всех отчетов, которые формируются в системе. Пользователю системы предоставлена возможность формирования отчетов по различным процессам управления ИБ. Все отчеты могут быть выгружены в формат DOCX с помощью кнопки « ».
Пользователь может просмотреть ранее созданный отчет, дважды щелкнув по названию отчета в списке.





4.7.1 Формирование отчетов

Для того чтобы сформировать отчет необходимо нажать на кнопку , в правой части экрана из выпадающего списка выбрать категорию отчета и указать дополнительные параметры для каждого типа отчета.
Для каждого модуля системы имеются свои типы отчетов:
1) Модуль «Аудит и контроль».
Для отчетов данного модуля необходимо указать оценку, по результатам которой будут сформированы следующие типы отчетов:
— сводный отчет по соответствию – данный отчет содержит обобщенные результаты оценки выполнений требований по защите информации, с указанием области оценки и уровня соответствия ему;
— детализированный отчет по соответствию – отчет содержит детализированную информацию по результатам проведенной оценки соответствия требованиям по безопасности информации с указанием степени выполнения каждого требования;
— положение о применимости контролей – документ, определяющий цели и меры управления, соответствующие и применимые к системе менеджмента ИБ организации (в соответствии с требованиями ГОСТ Р ИСО/МЭК 27001-2006, ISO 27001:2013);
— отчеты по форме 0403202, соответствующие требованиям и рекомендациям Банка России;
— отчеты по результатам проведения оценки на соответствие положениям 382-П, включающих в себя Сводный отчет по 382-П и Результаты оценки 382-П;
— отчеты по результатам проведения оценки и самооценки по требованиям СТО БР ИББС: Сводный отчет СТО БР 2014, Детализированный отчет СТО БР 2014, Показатели ИБ ОЗПД, Показатели ИБ БИТП, Показатели ИБ БПТП, Форма подтверждения соответствия, Перечень неоцениваемых показателей, Перечень свидетельств оценки, Лист сбора свидетельств;
—  отчеты по результатам оценки выполнения требований Стандарта Национального банка Республики Беларусь «Информационные технологии и безопасность. Обеспечение информационной безопасности банков Республики Беларусь. Общие положения» (СТБ 34.101.41-2013), в частности Сводный отчет СТБ, Детализированный отчет СТБ, Показатели ИБ БИТП СТБ и Показатели ИБ БПТП СТБ.

2) Модуль «Управление активами» содержит следующие типы отчетов:
— сводка по группе ИТ-активов – отчет, включающий в себя сводку по оборудованию, сетям, пользователям и программному обеспечению в составе выбранной группы ИТ-активов. Для создания отчета необходимо выбрать группу ИТ-активов;
— сводка по сети – отчет содержит сводку по оборудованию, пользователям и программному обеспечению, обнаруженному в выбранной сети. Для создания отчета необходимо выбрать сеть;
— перечень программного обеспечения – отчет, содержащий сводку по всему программному обеспечению, либо программному обеспечению из определенной группы ПО;
— перечень информационных активов – отчет, содержащий сводку информационных активов (информации), а также их взаимосвязь с бизнес-процессами и группами ИТ-активов;
— перечень бизнес-процессов – отчет содержит список бизнес-процессов с указанием их взаимосвязи с информацией и группами ИТ-активов;
— отчет по уязвимостям для группы ИТ-активов – отчет содержит перечень обнаруженных сканером уязвимостей для определенной группы ИТ-активов. При создании данного типа отчета потребуется выбрать группу ИТ-активов;
— отчет по уязвимостям для сети – отчет содержит перечень обнаруженных сканером уязвимостей для определенной сети. Для создания данного типа отчета потребуется выбрать сеть для отчета;
— отчет по уязвимостям для хоста – отчет содержит перечень обнаруженных сканером уязвимостей для определенного узла. Для создания данного типа отчета потребуется ввести IP-адрес устройства или имя;
— отчет по помещению – отчет содержит сводку по оборудованию, пользователям и программному обеспечению, размещенным в выбранном помещении. Для создания отчета необходимо выбрать помещение.

3) Модуль «Управление инцидентами» содержит следующие типы отчетов:
— сводка по инцидентам ― в отчете содержится общая информация по произошедшим в системе инцидентам ИБ. Для создания отчета необходимо выбрать период (произвольный, месячный, квартальный, годовой) и указать объем информации для отчета;
— инциденты по группам ИТ-активов – отчет отображает распределение инцидентов по группам ИТ-активов. Для создания отчета необходимо указать период для отчета;
— отчет по территориальным подразделениям – в данном отчете будет фигурировать статистика инцидентов по всем территориальным подразделениям. Для создания отчета необходимо выбрать отчетный период;
— отчет по форме 0403203 – отчет, необходимый для предоставления отчетности в ЦБ РФ. Для создания отчета необходимо указать отчетный период.

4) Модуль «Управление рисками» содержит следующие типы отчетов:
— сводный реестр рисков – отчет представляет собой обобщенный список выявленных рисков информационной безопасности. Для создания отчета необходимо в качестве области отчета выбрать один, несколько или все активы;
— план обработки рисков – перечень запланированных мероприятий по обработке рисков. Для создания отчета необходимо указать область отчета;
— детализированный реестр рисков – детализированный перечень выявленных рисков информационной безопасности, включающий в себя описание всех параметров по каждому из рисков (способы реализации, источники, предпосылки, активы, подвергающиеся риску, защитные меры и проч.). Для создания отчета необходимо выбрать активы для области отчета.
5) Модуль «Общие отчеты» содержит отчет «Сводка по задачам», содержащий информацию о задачах поставленных текущим пользователем или назначенных на текущего пользователя.

Сформируйте и сохраните следующие отчеты:
— сводка по сети, перечень бизнес-процессов (отметьте в нем бизнес-процессы вашего варианта), отчет по помещению для модуля «Управление активами» для сетей, помещений из вашего варианта;
— отчет по территориальным подразделениям для модуля «Управление инцидентами» (отметьте в нем территориальные подразделения вашего варианта);
— план обработки рисков, детализированный реестр рисков для модуля «Управление рисками» для активов вашего варианта;
— сводка по задачам в модуле «Общие отчеты».

5 Содержание отчета по выполнению лабораторной работы

В отчете следует указать:
1) цель работы;
2) ход выполнения работы (скриншоты);
3) ответы на контрольные три (3) последующих вопроса, начиная с последней цифры вашего пароля (при цифре пароля 05, вопросы будут 5,6,7);
4) выводы по проделанной работе.

В дополнение к отчету по выполнению лабораторной работы прилагаются отчеты, сформированные платформой. Основные данные необходимо включить в отчет, все отчеты приложить к основному отчету о выполнении работы. При необходимости следует обработать рисунки с целью сжатия, при затруднениях обратиться к администратору дистанционного обучения за помощью.



Комментарии: Оценка:Зачет
Дата оценки: 25.11.2021

Помогу с вашим вариантом, другой работой, дисциплиной или онлайн-тестом.
E-mail: sneroy20@gmail.com
E-mail: ego178@mail.ru

Размер файла: 2,7 Мбайт
Фаил: (.rar)
-------------------
Обратите внимание, что преподаватели часто переставляют варианты и меняют исходные данные!
Если вы хотите, чтобы работа точно соответствовала, смотрите исходные данные. Если их нет, обратитесь к продавцу или к нам в тех. поддержку.
Имейте ввиду, что согласно гарантии возврата средств, мы не возвращаем деньги если вариант окажется не тот.
-------------------

Скачать

Добавить в корзину

Занесено в корзину

    Скачано: 2         Коментариев: 0

Есть вопросы? Посмотри часто задаваемые вопросы и ответы на них.
Опять не то? Мы можем помочь сделать!

Некоторые похожие работы:

Контрольная и Лабораторные работы 1-2 по дисциплине: Планирование и управление информационной безопасностью. Вариант №20
Контрольная и Лабораторные работы 1-2 по дисциплине: Планирование и управление информационной безопасностью. Вариант №26
Контрольная и Лабораторные работы 1-2 по дисциплине: Планирование и управление информационной безопасностью. Вариант №10
Контрольная и Лабораторная работа 1-2 по дисциплине: Планирование и управление информационной безопасностью. Вариант 17
Контрольная работа и Лабораторные работы №№1-2 по дисциплине: Планирование и управление информационной безопасностью. Вариант №12
Контрольная работа и Лабораторные работы №№(1-2) по дисциплине: Планирование и управление информационной безопасностью. Вариант №4
Ещё искать по базе с такими же ключевыми словами.