Лабораторные работы 1-2 по дисциплине: Планирование и управление информационной безопасностью. Вариант №10

Лабораторная работа 1

Использование Microsoft Security Assessment Tool (MSAT)

1.1 Цель
Ознакомиться и получить практические навыки работы с программным продуктом для оценки рисков.

Ответы на контрольные вопросы:
1) Что подразумевается под оценкой рисков?
4) Какие разделы для поднятия точности результата вы бы до-бавили в программу при выполнении вашего индивидуально-го задания? Какие бы убрали?
6) Удобно ли использование данной программы при оценке информационной безопасности в государственных организаций? Почему?
-----------------------------------------------------------------------

Содержание:
1 Цель работы 
2 Характеристика деятельности организации 
3 Результат индивидуального задания 
3.1 Понимание рисков 
3.2 Процесс MSAT 
3.3 Обзор средства оценки 
3.4 Выполнение работы 
4 Полезные рекомендации программы 
5 Ответы на контрольные вопросы 
6 Выводы по проделанной работе 
Список использованных источников
========================================

Лабораторная работа 2

Проведение оценки рисков информационной безопасности
на базе продукта «R-Vision: SGRC

Цель работы

Изучить способы проведения оценки рисков информационной системы в программе «R-Vision: SGRC», изучить различия режимов проведения оценки, а также изучить влияние видов информации, источников угроз, их предпосылок, защитных мер на итоговые значения рисков.

Варианты заданий: определяется преподавателем. Вам необходимо направить в его адрес письмо (из личного кабинета), в ответ будет прислано письмо с информацией по выполнению вами лабораторной работы.

Вариант задания 10

Телевизионная станция «Рим»
Профиль организации: медиакомпания.
Структура: главный офис в г. Новосибирск с call-центром, станция.
Бизнес-процессы: отдел коммерции для работы с заказчиками и клиентами; отдел контроля выпусков в эфире, времени выхода и хронометража; отдел информации и выпуска новостей; станция для телевещания.
Информационные активы: отдел коммерции обладает Сведениями о контрактах с внешними поставщиками услуг и Персональными данными клиентов; отдел контроля выпусков в эфире обладает Сведениями о планировании; отдел информации и выпуска новостей обладает Сведениями о деловых переговорах и деловых переписках; станция для телевещания обладает Сведениями о процессах обработки и передачи информации.
Домен:rometelevision.
Персонал: 1 директор, руководитель отдела коммерции, 4 сотрудника в отделе коммерции, 3 инженера в телевещательной станции, 1 сотрудник в отделе информации и выпуска новостей, 1 журналист, 1 редактор.
Помещения: 1 помещение, в котором расположен главный офис, 1 помещения для call-центра, станция с телевышкой.
Оборудование:
10 рабочих станций с операционной системой Windows 7, 1 ноутбук для журналиста,
сервер СУБД Oracle, видеосервер EVS.
Сети:
10.150.1.1 – 10.150.1.10 – подсеть офиса,
10.150.2.1 – 10.150.2.5 – подсеть call-центра,
10.150.3.1 – 10.150.3.5 – подсеть станции.
Инциденты:
Превышение допустимой нагрузки для технических средств обработки/хранения информации,
Внесение несанкционированных изменений в параметры работы информационных или телекоммуникационных систем, оборудования, средств защиты информации,
Сбои и отказы внешних систем электроснабжения.
Документы по ИБ, утвержденные в компании:
Политика обработки персональных данных,
Регламент управления доступом к информационным ресурсам,
Парольная политика организации, действующая во всех офисах.
Порядок проверки контрагентов для отдела закупок.
Защитные меры: выберите защитные меры для актива «Зарплата и кадры».
Замечания:
при стратегическом управлении не проводится оценка рисков ИБ,
проводится обработка персональных данных посетителей без получения их согласия в письменной форме в главном офисе,
не проводится блокировка учетных записей уволенных сотрудников НИИ в ActiveDirectory.
Задачи:
Разработать политику информационной безопасности,
Провести организационные меры с сотрудниками для соблюдения политики ИБ,
Провести анализ защищенности серверов организации.
Оценка рисков проводится для актива «Сведения о процессах обработки и передачи информации».
Источники угроз: выберите источники из категории «Техногенные и природные источники».
Предпосылки: выберите предпосылки из категории «Предпосылки, связанные с взаимодействием с третьими сторонами» и «Предпосылки, связанные с организацией доступа».
Защитные меры, указываемые при оценке риска: выберите меры из категории «Мониторинг и управление инцидентами информационной безопасности».
Мероприятия по обработке рисков:
Для риска №1 – Внедрение защитной меры. Выберите меру с низкой степенью эффективности.
Для риска №2– Уход от риска со средней степенью эффективности.
Для риска №3 – Передача риска с высокой степенью эффективности
Для риска №4 – Разовое мероприятие с низкой степенью эффективности


Контрольные вопросы:
1) Что такое информационный актив?
2) Какими способами заполняется информация о сетевом оборудовании и структуре сети?
3) Существует ли возможность завести для одного и того же сотрудника несколько учётных записей?
4) Существует ли возможность создавать новый тип информационного актива, а не пользоваться ранее созданными?
5) Что такое инцидент информационной безопасности?
6) Каков жизненный цикл инцидента ИБ?
7) Какие уровни ущерба предусмотрены при создании нового инцидента в R-Vision-SGRS?
8) Какие меры могут быть предприняты по итогам инцидента? (приведите примеры)
9) Каким образом можно посмотреть - с какими объектами ИТ-инфраструктуры связан документ?
10) Какие типы документа можно добавлять в систему в качестве организационной защитной меры?
11) Какая категория пользователей имеет возможность создавать замечания?
12) Каков жизненный цикл задачи?
13) Что в рамках R-Vision-SGRS считается вторичным информационным активом?
14) Какими способами заполняется информация об обнаруженных уязвимостях?
15) При помощи какого инструмента участники комиссии по расследованию инцидента могут оставлять свои комментарии по поводу инцидента?
16) Какая категория пользователей имеет возможность создавать замечания?
------------------------------------------------------------------------------

Содержание
Цель работы 
Вариант задания 
1 Активы 
1.1 Организация 
1.2 Бизнес процессы 
1.3 Информация 
1.4 Домен 
1.5 Персонал 
1.6 Помещение 
1.7 Оборудование 
1.8 Программное обеспечение 
1.9 Сети 
2 Инциденты 
3 Система защиты 
3.1 Документы 
3.2 Защитные мера 
4 Аудит и контроль 
5 Задачи 
6 Риски 
6.1 Оценка 
7 Отчёты 
8 Контрольные вопросы 
Список использованных источников 
==========================================

Проверил(а): Киселев Антон Анатольевич
Оценка: Зачет
Дата оценки: 17.11.2022

Помогу с вашим онлайн тестом, другой работой или дисциплиной.
E-mail: sneroy20@gmail.com
E-mail: ego178@mail.ru