Обеспечение информационной безопасности информационной системы библиотеки. Описание объекта (бизнес-процессы организации)

1.

«Обеспечение информационной
безопасности информационной
системы библиотеки»
по дисциплине: «Управление информационной безопасностью»
Этап 1. Описание объекта (бизнес-процессы организации, процессы объекта, идентификация активов)
Группа М17-505
Команда №7
Студент: Майоров Анатолий
Преподаватель: Толстой Александр Иванович

2.

Цель: описать ИС библиотеки с точки зрения
информационной безопасности, определить
бизнес-процессы библиотеки, процессы ИС библиотеки,
идентифицировать активы.
Задачи:
Определить функции организации
Составить схему функционирования библиотеки
Определить особенности инфраструктуры ИС библиотеки
Связать активы с процессами и элементами инфраструктуры

3.

Функции библиотеки
Библиотека осуществляет деятельность по хранению, выдаче и
приему книг у клиентов.
Дополнительно, библиотека осуществляет свою деятельность
через интернет-портал, на котором клиенты могут осуществлять
поиск и резервирование книг.
Интернет-портал повышает удобство пользования библиотекой,
позволяя клиентам удаленно выбрать интересующую книгу и
выполнить её резервирование.

4.

Бизнес-процессы библиотеки
Регистрация клиентов
Element Four
Хранение книг
Выдача книг
Прием книг
Резервирование книг
для клиентов

5.

Схема
функционирования
библиотеки

6.

Основные процессы ИС библиотеки
Регистрация
пользователей
Аутентификация
пользователей
Поиск книг в
электронном каталоге
Резервирование
книг
Предоставление
информации
о резервировании
Внесение изменений
в электронный каталог

7.

Инфраструктура ИС библиотеки

8.

Активы
Информационные активы
• Парольная информация клиентов
• Электронный каталог библиотеки
• Информация о резервах книг
Среда, обрабатывающая информационные активы
БД с данными резервирования, парольной информацией.
БД с каталогом библиотеки.
Каналы связи.
Серверное, сетевое и служебное оборудование.
Программное обеспечение (системное, прикладное).

9.

Связь бизнес-процессов библиотеки с активами (1)
Процесс,
реализуемый в
организации
Элемент
инфраструктуры
Регистрация/
аутентификация
пользователей
Информационный
актив (ИА)
Актив, относящийся к объекту среды
обработки ИА
Тип актива
Уязвимости
Тип актива
Уязвимости
Сервер с БД
Парольная
информация
пользователей
К, Ц, Д
1. Уязвимость к SQL-Injection
2. Неверное разграничение прав
доступа
Поиск книг в
электронном
каталоге
/резервирование
книг
Сервер с БД
Электронный
Ц, Д
каталог библиотеки
БД с данными
резервирования,
парольной
информацией
БД с каталогом
библиотеки
1. Уязвимость к SQL-Injection
2. Неверное разграничение прав
доступа
Предоставление
информации о
резервировании
БД с данными
резервирования,
парольной
информацией
БД с данными
резервирования,
парольной
информацией
Внесение
изменений в
электронный
каталог
БД с каталогом
библиотеки
1. Уязвимость к SQL-Injection
2. Уязвимость к XSS-атаке
Информация о
резервах
К, Ц, Д
Сервер с БД
Информация о
резервах
К, Ц, Д
Сервер с БД
Электронный
Ц, Д
каталог библиотеки
1. Уязвимость к SQL-Injection
2. Уязвимость к XSS-атаке
1. Уязвимость к SQL-Injection
2. Неверное разграничение прав
доступа

10.

Связь бизнес-процессов библиотеки с активами (2)
Процесс,
Элемент
Активы, не отнесенные к ИА
организуемый в инфраструктуры Тип актива
Уязвимости
организации
Регистрация/
Сервер
аутентификация приложений
пользователей
Линии связи
Серверы
приложений
/БД
Каналы связи
АРМ операторов Программное
обеспечение
(системное,
прикладное)
Свойства,
приоритеты
Ц
1. Отсутствие и/или неправильная настройка
программно-аппаратных СЗИ
1. Незащищенность от преднамеренные действия Ц, Д
пользователей, имеющих доступ
2. Возможность непреднамеренных действий
пользователей
1. Уязвимость к DoS/DDoS атаке
Д
1. Уязвимость к несанкционированному анализу
сетевого трафика
1. Уязвимость к преднамеренным действиям
пользователей
2. Уязвимость к непреднамеренным действиям
пользователей
3. Устаревшее ПО
4. Возможность внедрения вредоносного ПО
К
Ц, Д

11.

Связь бизнес-процессов библиотеки с активами (3)
Процесс,
Элемент
Активы, не отнесенные к ИА
организуемый в инфраструктуры Тип актива
Уязвимости
организации
Поиск книг в
Сервер
электронном
приложений
каталоге
/резервирование
книг
Линии связи
Серверы
приложений
/БД
Каналы связи
Свойства,
приоритеты
Ц
1. Отсутствие и/или неправильная настройка
программно-аппаратных СЗИ
1. Незащищенность от преднамеренные действия Ц, Д
пользователей, имеющих доступ
2. Возможность непреднамеренных действий
пользователей
1. Уязвимость к DoS/DDoS атаке
Д
1. Уязвимость к несанкционированному анализу
сетевого трафика
К

12.

Связь бизнес-процессов библиотеки с активами (4)
Процесс,
Элемент
организуемый инфраструктуры
в
организации
Предоставле Сервер
приложений
ние
информации
о
резервирова
нии
АРМ операторов
Активы, не отнесенные к ИА
Тип актива
Уязвимости
Свойства,
приоритет
ы
Ц
Серверы
1. Отсутствие и/или неправильная настройка
приложений /БД программно-аппаратных СЗИ
Ц, Д
1. Незащищенность от преднамеренные
действия
пользователей, имеющих доступ
2. Возможность непреднамеренных действий
пользователей
Д
1. Уязвимость к DoS/DDoS атаке
Программное
1. Уязвимость к преднамеренным действиям Ц, Д
обеспечение
пользователей
(системное,
2. Уязвимость к непреднамеренным
прикладное)
действиям
пользователей
3. Устаревшее ПО
4. Возможность внедрения вредоносного ПО

13.

Связь бизнес-процессов библиотеки с активами (5)
Процесс,
Элемент
организуемый инфраструктуры
в
организации
Сервер
Внесение
изменений в приложений
Активы, не отнесенные к ИА
Тип актива
Уязвимости
Серверы
приложений
/БД
1. Отсутствие и/или неправильная настройка
программно-аппаратных СЗИ
1.
Незащищенность
от
преднамеренные
электронный
действия
каталог
пользователей, имеющих доступ
2. Возможность непреднамеренных действий
пользователей
1. Уязвимость к DoS/DDoS атаке
АРМ операторов Программное 1. Уязвимость к преднамеренным действиям
обеспечение пользователей
(системное,
2. Уязвимость к непреднамеренным действиям
прикладное) пользователей
3. Устаревшее ПО
4. Возможность внедрения вредоносного ПО
Свойства,
приоритеты
Ц
Ц, Д
Д
Ц, Д

14.

Благодарю за внимание!