Что понимается под средством физического управления доступом
Перейти к содержимому

Что понимается под средством физического управления доступом

  • автор:

Что понимается под средством физического управления доступом

Тесты по «Информационной безопасности»

1. Какие существуют основные уровни обеспечения защиты информации?

в) Программно-технический (аппаратный)

2. Какие основные свойства информации и систем обработки информации необходимо поддерживать, обеспечивая информационную безопасность?

3. Что такое доступность информации?

а) Свойство системы, в которой циркулирует информация, характеризующееся способностью обеспечивать своевременный беспрепятственный доступ к информации субъектов, имеющих на это надлежащие полномочия

4. Что такое целостность информации?

а) Свойство информации, заключающееся в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию)

5. Что такое конфиденциальность информации?

а) Свойство информации, указывающее на необходимость введения ограничений на круг субъектов, имеющих доступ к данной информации, и обеспечиваемое способностью системы сохранять указанную информацию в тайне от субъектов, не имеющих полномочий на право доступа к ней

6. Что относится к угрозам информационной безопасности?

а) Потенциально возможное событие, действие, процесс или явление, которое может привести к нарушению конфиденциальности, целостности, доступности информации, а также неправомерному ее тиражированию

б) Классификация информации

в) Стихийные бедствия и аварии (наводнение, ураган, землетрясение, пожар и т.п.)

д) Ошибки эксплуатации (пользователей, операторов и другого персонала)

е) Преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, диверсантов)

ж) Последствия ошибок проектирования и разработки компонентов АС (аппаратных средств, технологии обработки информации, программ, структур данных и т.п.)

7. Какое определение информации дано в Законе РФ «Об информации, информатизации и защите информации»?

а) Сведения о лицах, предметах, фактах, событиях, явлениях и процессах, независимо от формы их представления

8. Какие угрозы безопасности информации являются преднамеренными?

а) Взрыв в результате теракта

з) Хищение носителей информации

и) Незаконное получение паролей

9. Какие угрозы безопасности информации являются непреднамеренными?

г) Ошибки персонала

д) Неумышленное повреждение каналов связи

е) Некомпетентное использование средств защиты

ж) Утрата паролей, ключей, пропусков

10. Что относится к правовым мерам защиты информации?

а) Законы, указы и другие нормативные акты, регламентирующие правила обращения с информацией и ответственность за их нарушения

11. Какие имеются виды правовой ответственности за нарушение законов в области информационной безопасности?

12. Что такое государственная тайна?

а) Защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности РФ

д) Конкретные сведения, в отношении которых компетентные органы и их должностные лица приняли решение об их отнесении к государственной тайне

13. Что такое коммерческая тайна?

а) Информация, имеющая действительную или потенциальную коммерческую ценность в силу ее неизвестности третьим лицам

б) Информация, к которой нет доступа на законном основании

в) Информации, обладатель которой принимает меры к охране ее конфиденциальности

14. Какие правовые документы решают вопросы информационной безопасности?

а) Уголовный кодекс РФ

б) Конституция РФ

в) Закон «Об информации, информатизации и защите информации»

г) Закон РФ «О государственной тайне»

д) Закон РФ «О коммерческой тайне»

е) Закон РФ «О лицензировании отдельных видов деятельности»

з) Закон РФ » Об электронной цифровой подписи «

15. Что такое лицензия?

а) Специальное разрешение на осуществление конкретного вида деятельности при обязательном соблюдении лицензионных требований и условий, выданное лицензирующим органом юридическому лицу или индивидуальному предпринимателю

16. Что такое сертификация?

а) Подтверждение соответствия продукции или услуг установленным требованиям или стандартам

17. Какие документы относятся к основным международным документы по информационной безопасности?

а) Критерии оценки доверенных компьютерных систем (Оранжевая книга)

б) Рекомендации Х.800

в) Критерии оценки безопасности информационных технологий (Стандарт ISO / IEC 15408)

18. Что включает в себя политика безопасности согласно «Оранжевой книге»?

а) Произвольное управление доступом

б) Безопасность повторного использования объектов

в) Метки безопасности

г) Принудительное управление доступом

19. Что относится к средствам подотчетности согласно «Оранжевой книге»?

а) Идентификация и аутентификация

б) Предоставление доверенного пути

в) Анализ регистрации информации

20. Что относится к средствам сетевых механизмов безопасности согласно «Рекомендациям Х.800»?

б) Электронная цифровая подпись

в) Механизмы контроля целостности данных

г) Механизмы аутентификации

д) Механизмы дополнения трафика

е) Механизмы управления маршрутизацией

21. Какие основные определения приведены в «Стандарте ISOflEC 15408 (Общие критерии)»?

а) Классы безопасности

б) Задания по безопасности

в) Профили защиты

22. Какой основной документ по информационной безопасности Гостехкомиссии при Президенте РФ?

а) Руководящие документы по защите от несанкционированного доступа

23. Что такое политика информационной безопасности организации

а) Набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию

24. Что входит в задачи службы безопасности организации?

а) Выявление лиц, проявляющих интерес к коммерческой тайне предприятия

б) Разработка системы защиты секретных документов

в) Определение уязвимых участков на предприятии, аварии или сбои в работе которых могут нанести урон предприятию

г) Планирование, обоснование и организация мероприятий по защите информации

д) Взаимодействие с Управлением внутренних дел

е) Определение сведений, составляющих коммерческую тайну

25. Каковы меры управления персоналом для обеспечения информационной безопасности?

а) Описание должности (должностных обязанностей)

б) Разделение обязанностей

в) Минимизация привилегий

д) Подбор кадров

ж) Аттестация персонала

26. Что относится к основным способам физической защиты?

а) Физическое управление доступом

б) Противопожарные меры

в) Защита поддерживающей инфраструктуры

г) Защита от перехвата данных

д) Защита мобильных систем

27. Что понимается под средством физического управления доступом?

а) Механические, электронно-механические устройства и сооружения, специально предназначенные для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к защищаемой информации

28. Каковы основные принципы построения систем физической защиты?

а) Принцип системности

б) Принцип непрерывности защиты

в) Принцип разумной достаточности

г) Гибкость управления и применения

д) Простота применения защитных мер и средств

29. Какие действия являются реагированием на нарушение режима информационной безопасности организации?

а) Локализация и уменьшение вреда

б) Выявление нарушителя

в) Предупреждение повторных нарушений

30. Что относится к основным организационным мероприятиям, направленным на поддержание работоспособности информационных систем?

а) Резервное копирование

б) Поддержка программного обеспечения

г) Регламентные работы

31. Что относится к средствам физической защиты информации?

а) Пропускная система на предприятиях

б) Ограждения на предприятиях

г) Системы видео наблюдения на предприятиях

д) Резервное копирование

е) Средства защиты от пожаров

ж) Средства защиты от жары, холода, влаги, магнетизма

з) Индивидуальные средства защиты

32. Какие имеются основные направления обеспечения информационной безопасности, связанные с человеческим фактором?

а) Разделение обязанностей

б) Минимизация привилегий

в) Описание должности (должностные инструкции)

г) Обучение персонала информационной безопасности

33. Что такое несанкционированный доступ (нсд)?

а) Доступ субъекта к объекту в нарушение установленных в системе правил разграничения доступа

34. Что такое идентификация?

а) Процесс распознавания элемента системы, обычно с помощью заранее определенного идентификатора или другой уникальной информации

35. Что такое аутентификация?

а) Проверка подлинности идентификации пользователя, процесса, устройства или другого компонента системы (обычно осуществляется перед разрешением доступа).

36. Какими способами обеспечиваются основные уровни антивирусной защиты?

а) Поиск и уничтожение известных вирусов

б) Поиск и уничтожение неизвестных вирусов

в) Блокировка проявления вирусов

37. Какие имеются методы и средства поиска и уничтожения известных вирусов?

а) Метод сканирования и сравнения с уникальным фрагментом программного кода, находящимся в базе данных кодов известных компьютерных вирусов.

38. Какие имеются методы и средства поиска и уничтожения неизвестных вирусов

а) Метод контроля целостности системы (обнаружение изменений)

39. На каких методах основана блокировка проявления вирусов

а) На методах перехвата характерных для вирусов функций

40. Какие меры позволяют повысить надежность парольной защиты?

а) Наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки пунктуации и т.п.)

б) Управление сроком действия паролей, их периодическая смена

в) Ограничение доступа к файлу паролей

г) Ограничение числа неудачных попыток входа в систему (это затруднит применение «метода грубой силы») обучение пользователей

41. Что относится к идентификации и/или аутентификации людей на основе их физиологических характеристик?

а) Анализ особенностей голоса

б) Распознавание речи

в) Отпечатки пальцев

г) Сканирование радужной оболочки глаза

42. Что относится к идентификации и/или аутентификации людей на основе их поведенческих характеристик?

а) Анализ динамики подписи (ручной)

б) Анализ стиля работы с клавиатурой

43. Что относится к идентификации и/или аутентификации людей на основе их поведенческих характеристик?

а) Специальные методы шифрования, кодирования или иного преобразования информации, в результате которого ее ключа криптограммы

44. Что такое симметричный метод шифрования?

а) Криптографический метод защиты информации, где для шифрования и дешифрования используется один и тот же ключ, сохранение которого в секрете обеспечивает надежность защиты

45. Какие методы применяются в криптографических методах защиты информации?

в) Аналитическое преобразование

г) Комбинированное преобразование

46. Что такое асимметричный метод шифрования?

а) Метод защиты информации, где для шифрования и дешифрования информации используются различные ключи

47. Что такое электронная цифровая подпись?

а) Реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе

48. Что такое закрытый ключ электронной цифровой подписи?

а) Уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи.

49. Что такое открытый ключ электронной цифровой подписи?

а) Уникальная последовательность символов, соответствующая закрытому ключу электронной цифровой подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе.

50. Что такое Хэш-функция?

а) Труднообратимое преобразование данных (односторонняя функция), реализуемое, как правило, средствами симметричного шифрования со связыванием блоков

Информационная безопасность

ПОНЯТИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Под информационной безопасностью понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам или поддерживающей инфраструктуре.
Информационная безопасность организации – состояние защищенности информационной среды организации, обеспечивающее её формирование, использование и развитие.
В современном социуме информационная сфера имеет две составляющие: информационно-техническую (искусственно созданный человеком мир техники, технологий и т.п.) и информационно-психологическую (естественный мир живой природы, включающий и самого человека). Соответственно, в общем случае информационную безопасность общества (государства) можно представить двумя составными частями: информационно-технической безопасностью и информационно-психологической (психофизической) безопасностью.
В качестве стандартной модели безопасности часто приводят модель из трёх категорий:
· Конфиденциальность – состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;
· Целостность – избежание несанкционированной модификации информации;
· Доступность – избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.
Выделяют и другие не всегда обязательные категории модели безопасности:
· неотказуемость или апеллируемость – невозможность отказа от авторства;
· подотчётность – обеспечение идентификации субъекта доступа и регистрации его действий;
· достоверность – свойство соответствия предусмотренному поведению или результату;
· аутентичность или подлинность – свойство, гарантирующее, что субъект или ресурс идентичны заявленным.
Действия, которые могут нанести ущерб информационной безопасности организации, можно разделить на несколько категорий:
1. Действия, осуществляемые авторизованными пользователями. В эту категорию попадают: целенаправленная кража или уничтожение данных на рабочей станции или сервере; повреждение данных пользователей в результате неосторожных действий.
2. «Электронные» методы воздействия, осуществляемые хакерами. Под хакерами понимаются люди, занимающиеся компьютерными преступлениями как профессионально (в том числе в рамках конкурентной борьбы), так и просто из любопытства. К таким методам относятся: несанкционированное проникновение в компьютерные сети; DOS‑атаки.
Целью несанкционированного проникновения извне в сеть предприятия может быть нанесение вреда (уничтожения данных), кража конфиденциальной информации и использование ее в незаконных целях, использование сетевой инфраструктуры для организации атак на узлы третьих фирм, кража средств со счетов и т.п.
Атака типа DOS (сокр. от Denial of Service – «отказ в обслуживании») − это внешняя атака на узлы сети предприятия, отвечающие за ее безопасную и эффективную работу (файловые, почтовые сервера). Злоумышленники организуют массированную отправку пакетов данных на эти узлы, чтобы вызвать их перегрузку и, в итоге, на какое-то время вывести их из строя. Это, как правило, влечет за собой нарушения в бизнес-процессах компании-жертвы, потерю клиентов, ущерб репутации и т.п.
3. Компьютерные вирусы. Отдельная категория электронных методов воздействия − компьютерные вирусы и другие вредоносные программы. Они представляют собой реальную опасность для современного бизнеса, широко использующего компьютерные сети, интернет и электронную почту. Проникновение вируса на узлы корпоративной сети может привести к нарушению их функционирования, потерям рабочего времени, утрате данных, краже конфиденциальной информации и даже прямым хищениям финансовых средств. Вирусная программа, проникшая в корпоративную сеть, может предоставить злоумышленникам частичный или полный контроль над деятельностью компании.
4. Спам. Всего за несколько лет спам из незначительного раздражающего фактора превратился в одну из серьезнейших угроз безопасности: электронная почта в последнее время стала главным каналом распространения вредоносных программ; спам отнимает массу времени на просмотр и последующее удаление сообщений, вызывает у сотрудников чувство психологического дискомфорта; как частные лица, так и организации становятся жертвами мошеннических схем, реализуемых спамерами; вместе со спамом нередко удаляется важная корреспонденция, что может привести к потере клиентов, срыву контрактов и другим неприятным последствиям; опасность потери корреспонденции особенно возрастает при использовании черных списков RBL и других «грубых» методов фильтрации спама.
5. «Естественные» угрозы. На информационную безопасность компании могут влиять разнообразные внешние факторы: причиной потери данных может стать неправильное хранение, кража компьютеров и носителей, форс-мажорные обстоятельства и т.д.
Таким образом, в современных условиях наличие развитой системы информационной безопасности становится одним из важнейших условий конкурентоспособности и даже жизнеспособности любой компании.

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ И ИНТЕРНЕТ
Общение с использованием новейших средств коммуникации вобрал в себя Интернет. Всемирная информационная сеть развивается большими темпами, количество участников постоянно растет. По некоторым данным, в сети зарегистрировано около 1,5 миллиарда страниц. Некоторые «живут» до полугода, а некоторые работают на своих владельцев в полную силу и приносят большую прибыль. Информация в сети охватывает все стороны жизнедеятельности человека и общества. Пользователи доверяют этой форме себя и свою деятельность. Однако опыт работы в области компьютерных технологий полон примеров недобросовестного использования ресурсов Интернет.
Специалисты говорят, что главная причина проникновения в компьютерные сети – беспечность и неподготовленность пользователей. Это характерно не только для рядовых пользователей, но и для специалистов в области компьютерной безопасности. Вместе с тем, причина не только в халатности, но и в сравнительно небольшом опыте специалистов по безопасности в сфере информационных технологий. Связано это со стремительным развитием рынка сетевых технологий и самой сети Интернет.
По данным лаборатории Касперского, около 90% от общего числа проникновений на компьютер вредоносных программ используется посредством Интернет, через электронную почту и просмотр Web‑страниц. Особое место среди таких программ занимает целый класс – Интернет-червь. Само распространяющиеся, не зависимо от механизма работы выполняют свои основные задачи по изменению настроек компьютера-жертвы, воруют адресную книгу или ценную информацию, вводят в заблуждение самого пользователя, создают рассылку с компьютера по адресам, взятым из записной книжки, делают компьютер чьим-то ресурсом или забирают часть ресурсов для своих целей или в худшем случае самоликвидируются, уничтожая все файлы на всех дисках.
Все эти и другие с ними связанные проблемы можно решить с помощью наличия в организации проработанного документа, отражающего политику информационной безопасности компании. В таком документе должны быть четко прописаны следующие положения:
· как ведется работа с информацией предприятия;
· кто имеет доступ;
· система копирования и хранения данных;
· режим работы на ПК;
· наличие охранных и регистрационных документов на оборудование и программное обеспечение;
· выполнение требований к помещению, где располагается ПК и рабочее место пользователя;
· наличие инструкций и технической документации;
· наличие рабочих журналов и порядок их ведения.
Кроме того, необходимо постоянно отслеживать развитие технических и информационных систем, публикуемых в периодической печати или следить за событиями, обсуждаемыми на подобных семинарах.
Так согласно Указа Президента РФ «О мерах по обеспечению информационной безопасности РФ при использовании информационно-телекоммуникационных сетей международного информационного обмена», запрещено подключение информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие государственную тайну, либо информации, обладателями которой являются госорганы и которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям, позволяющим осуществлять передачу информации через государственную границу РФ, в том числе к Интернету.
При необходимости подключения указанных информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники к информационно-телекоммуникационным сетям международного информационного обмена такое подключение производится только с использованием специально предназначенных для этого средств защиты информации, в том числе шифровальных (криптографических) средств, прошедших в установленном законодательством РФ порядке сертификацию в Федеральной службе безопасности РФ и (или) получивших подтверждение соответствия в Федеральной службе по техническому и экспортному контролю.

МЕТОДЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
По убеждению экспертов «Лаборатории Касперского», задача обеспечения информационной безопасности должна решаться системно. Это означает, что различные средства защиты (аппаратные, программные, физические, организационные и т.д.) должны применяться одновременно и под централизованным управлением. При этом компоненты системы должны «знать» о существовании друг друга, взаимодействовать и обеспечивать защиту как от внешних, так и от внутренних угроз.
На сегодняшний день существует большой арсенал методов обеспечения информационной безопасности:
· средства идентификации и аутентификации пользователей (так называемый комплекс 3А);
· средства шифрования информации, хранящейся на компьютерах и передаваемой по сетям;
· межсетевые экраны;
· виртуальные частные сети;
· средства контентной фильтрации;
· инструменты проверки целостности содержимого дисков;
· средства антивирусной защиты;
· системы обнаружения уязвимостей сетей и анализаторы сетевых атак.
Каждое из перечисленных средств может быть использовано как самостоятельно, так и в интеграции с другими. Это делает возможным создание систем информационной защиты для сетей любой сложности и конфигурации, не зависящих от используемых платформ.
«Комплекс 3А» включает аутентификацию (или идентификацию), авторизацию и администрирование. Идентификация и авторизация − это ключевые элементы информационной безопасности. При попытке доступа к информационным активам функция идентификации дает ответ на вопрос: «Кто вы?» и «Где вы?» − являетесь ли вы авторизованным пользователем сети. Функция авторизации отвечает за то, к каким ресурсам конкретный пользователь имеет доступ. Функция администрирования заключается в наделении пользователя определенными идентификационными особенностями в рамках данной сети и определении объема допустимых для него действий.
Системы шифрования позволяют минимизировать потери в случае несанкционированного доступа к данным, хранящимся на жестком диске или ином носителе, а также перехвата информации при ее пересылке по электронной почте или передаче по сетевым протоколам. Задача данного средства защиты – обеспечение конфиденциальности. Основные требования, предъявляемые к системам шифрования – высокий уровень криптостойкости и легальность использования на территории России (или других государств).
Межсетевой экран представляет собой систему или комбинацию систем, образующую между двумя или более сетями защитный барьер, предохраняющий от несанкционированного попадания в сеть или выхода из нее пакетов данных.
Основной принцип действия межсетевых экранов − проверка каждого пакета данных на соответствие входящего и исходящего IP‑адреса базе разрешенных адресов. Таким образом, межсетевые экраны значительно расширяют возможности сегментирования информационных сетей и контроля за циркулированием данных.
Говоря о криптографии и межсетевых экранах, следует упомянуть о защищенных виртуальных частных сетях (Virtual Private Network – VPN). Их использование позволяет решить проблемы конфиденциальности и целостности данных при их передаче по открытым коммуникационным каналам. Использование VPN можно свести к решению трех основных задач:
1. защита информационных потоков между различными офисами компании (шифрование информации производится только на выходе во внешнюю сеть);
2. защищенный доступ удаленных пользователей сети к информационным ресурсам компании, как правило, осуществляемый через интернет;
3. защита информационных потоков между отдельными приложениями внутри корпоративных сетей (этот аспект также очень важен, поскольку большинство атак осуществляется из внутренних сетей).
Эффективное средство защиты от потери конфиденциальной информации − фильтрация содержимого входящей и исходящей электронной почты. Проверка самих почтовых сообщений и вложений в них на основе правил, установленных в организации, позволяет также обезопасить компании от ответственности по судебным искам и защитить их сотрудников от спама. Средства контентной фильтрации позволяют проверять файлы всех распространенных форматов, в том числе сжатые и графические. При этом пропускная способность сети практически не меняется.
Все изменения на рабочей станции или на сервере могут быть отслежены администратором сети или другим авторизованным пользователем благодаря технологии проверки целостности содержимого жесткого диска (integrity checking). Это позволяет обнаруживать любые действия с файлами (изменение, удаление или же просто открытие) и идентифицировать активность вирусов, несанкционированный доступ или кражу данных авторизованными пользователями. Контроль осуществляется на основе анализа контрольных сумм файлов (CRC‑сумм).
Современные антивирусные технологии позволяют выявить практически все уже известные вирусные программы через сравнение кода подозрительного файла с образцами, хранящимися в антивирусной базе. Кроме того, разработаны технологии моделирования поведения, позволяющие обнаруживать вновь создаваемые вирусные программы. Обнаруживаемые объекты могут подвергаться лечению, изолироваться (помещаться в карантин) или удаляться. Защита от вирусов может быть установлена на рабочие станции, файловые и почтовые сервера, межсетевые экраны, работающие под практически любой из распространенных операционных систем (Windows, Unix- и Linux‑системы, Novell) на процессорах различных типов.
Фильтры спама значительно уменьшают непроизводительные трудозатраты, связанные с разбором спама, снижают трафик и загрузку серверов, улучшают психологический фон в коллективе и уменьшают риск вовлечения сотрудников компании в мошеннические операции. Кроме того, фильтры спама уменьшают риск заражения новыми вирусами, поскольку сообщения, содержащие вирусы (даже еще не вошедшие в базы антивирусных программ) часто имеют признаки спама и отфильтровываются. Правда, положительный эффект от фильтрации спама может быть перечеркнут, если фильтр наряду с мусорными удаляет или маркирует как спам и полезные сообщения, деловые или личные.
Для противодействия естественным угрозам информационной безопасности в компании должен быть разработан и реализован набор процедур по предотвращению чрезвычайных ситуаций (например, по обеспечению физической защиты данных от пожара) и минимизации ущерба в том случае, если такая ситуация всё-таки возникнет. Один из основных методов защиты от потери данных – резервное копирование с четким соблюдением установленных процедур (регулярность, типы носителей, методы хранения копий и т.д.).

Что понимается под средством физического управления доступом

Тесты по «Информационной безопасности»

1. Какие существуют основные уровни обеспечения защиты информации?

в) Программно-технический (аппаратный)

2. Какие основные свойства информации и систем обработки информации необходимо поддерживать, обеспечивая информационную безопасность?

3. Что такое доступность информации?

а) Свойство системы, в которой циркулирует информация, характеризующееся способностью обеспечивать своевременный беспрепятственный доступ к информации субъектов, имеющих на это надлежащие полномочия

б) Свойство системы, обеспечивать беспрепятственный доступ к информации любых субъектов

в) Свойство системы, обеспечивать закрытый доступ к информации любых субъектов

г) Свойство информации, заключающееся в легкости ее несанкционированного получения и дальнейшего распространения (несанкционированного копирования)

4. Что такое целостность информации?

а) Свойство информации, заключающееся в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию)

б) Свойство информации, заключающееся в возможности ее изменения любым субъектом

в) Свойство информации, заключающееся в возможности изменения только единственным пользователем

г) Свойство информации, заключающееся в ее существовании в виде единого набора файлов

5. Что такое конфиденциальность информации?

а) Свойство информации, указывающее на необходимость введения ограничений на круг субъектов, имеющих доступ к данной информации, и обеспечиваемое способностью системы сохранять указанную информацию в тайне от субъектов, не имеющих полномочий на право доступа к ней

б) Свойство информации, заключающееся в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию)

в) Свойство информации, заключающееся в ее существовании в виде не защищенного паролем набора

г) Свойство информации, заключающееся в ее шифрования

д) Свойство информации, заключающееся в ее принадлежности к определенному набору

6. Что относится к угрозам информационной безопасности?

а) Потенциально возможное событие, действие, процесс или явление, которое может привести к нарушению конфиденциальности, целостности, доступности информации, а также неправомерному ее тиражированию

б) Классификация информации

в) Стихийные бедствия и аварии (наводнение, ураган, землетрясение, пожар и т.п.)

г) Сбои и отказы оборудования (технических средств) АС

д) Ошибки эксплуатации (пользователей, операторов и другого персонала)

е) Преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, диверсантов)

ж) Последствия ошибок проектирования и разработки компонентов АС (аппаратных средств, технологии обработки информации, программ, структур данных и т.п.)

з) Иерархическое расположение данных

7. Какое определение информации дано в Законе РФ «Об информации, информатизации и защите информации»?

а) Сведения о лицах, предметах, фактах, событиях, явлениях и процессах, независимо от формы их представления

б) Получение сведений из глобальной информационной сети

в) Систематизированные данные об экономике

г) Это результаты компьютерных решений определенных задач

8. Какие угрозы безопасности информации являются преднамеренными?

а) Взрыв в результате теракта

г) Ошибки персонала

д) Неумышленное повреждение каналов связи

е) Некомпетентное использование средств защиты

ж) Утрата паролей, ключей, пропусков

з) Хищение носителей информации

и) Незаконное получение паролей

9. Какие угрозы безопасности информации являются непреднамеренными?

а) Взрыв в результате теракта

г) Ошибки персонала

д) Неумышленное повреждение каналов связи

е) Некомпетентное использование средств защиты

ж) Утрата паролей, ключей, пропусков

з)Хищение носителей информации

  1. Что относится к правовым мерам защиты информации?

а) Законы, указы и другие нормативные акты, регламентирующие правила обращения с информацией и ответственность за их нарушения

б) Действия правоохранительных органов для защиты информационных ресурсов

в) Организационно-административные меры для защиты информационных ресурсов

г) Действия администраторов сети защиты информационных ресурсов

  1. Какие имеются виды правовой ответственности за нарушение законов в области информационной безопасности?
  1. Что такое государственная тайна?

а) Защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности РФ

б) Сведения о состоянии окружающей среды

в) Все сведения, которые хранятся в государственных базах данных

г) Сведения о состоянии здоровья президента РФ

д) Конкретные сведения, в отношении которых компетентные органы и их должностные лица приняли решение об их отнесении к государственной тайне

  1. Что такое коммерческая тайна?

а) Информация, имеющая действительную или потенциальную коммерческую ценность в силу ее неизвестности третьим лицам

б) Информация, к которой нет доступа на законном основании

в) Информации, обладатель которой принимает меры к охране ее конфиденциальности

г) Информация, содержащая в учредительных документах

д) Информация, содержащая в годовых отчетах, бухгалтерских балансах, формах государственных статистических отчетов

  1. Какие правовые документы решают вопросы информационной безопасности?

а) Уголовный кодекс РФ

б) Конституция РФ

в) Закон «Об информации, информатизации и защите информации»

г) Закон РФ «О государственной тайне»

д) Закон РФ «О коммерческой тайне»

е) Закон РФ «О лицензировании отдельных видов деятельности»

ж) Закон РФ «Об образовании»

з) Закон РФ » Об электронной цифровой подписи «

  1. Что такое лицензия?

а) Специальное разрешение на осуществление конкретного вида деятельности при обязательном соблюдении лицензионных требований и условий, выданное лицензирующим органом юридическому лицу или индивидуальному предпринимателю

б) Перечень документов, которыми организация пользуется для засекречивания информации

в) Осуществление любых видов деятельности при обязательном соблюдении лицензионных требований и условий, выданное лицензирующим органом юридическому лицу или индивидуальному предпринимателю

г) Разрешение на осуществление любого вида деятельности выданное юридическому лицу или индивидуальному предпринимателю

д) Документы, подтверждающие уровень защиты информации

  1. Что такое сертификация?

а) Подтверждение соответствия продукции или услуг установленным требованиям или стандартам

б) Процесс подготовки к изготовлению программно-технических средств защиты информации

в) Документы, по которым происходит процесс засекречивания программно-технических средств

г) Административное управление информационной безопасностью

  1. Какие документы относятся к основным международным документы по информационной безопасности?

а) Критерии оценки доверенных компьютерных систем (Оранжевая книга)

б) Рекомендации Х.800

в) Критерии оценки безопасности информационных технологий (Стандарт ISO / IEC 15408)

г) Рекомендации Х.400

д) Международный закон по информационной безопасности

  1. Что включает в себя политика безопасности согласно «Оранжевой книге»?

а) Произвольное управление доступом

б) Безопасность повторного использования объектов

в) Метки безопасности

г) Принудительное управление доступом

д) Переговоры между организациями

  1. Что относится к средствам подотчетности согласно «Оранжевой книге»?

а) Идентификация и аутентификация

б) Предоставление доверенного пути

в) Анализ регистрации информации

г) Копирование файлов

д) Администрирование системы

  1. Что относится к средствам сетевых механизмов безопасности согласно «Рекомендациям Х.800»?

б) Электронная цифровая подпись

в) Механизмы контроля целостности данных

г) Механизмы аутентификации

д) Механизмы дополнения трафика

е) Механизмы управления маршрутизацией

ж) Механизмы нотаризации

з) Настройка 1р адресов системы

  1. Какие основные определения приведены в «Стандарте ISOflEC 15408 (Общие критерии)»?

а) Классы безопасности

б) Задания по безопасности

в) Профили защиты

г) Выбор пользователей для работы с закрытой информацией

  1. Какой основной документ по информационной безопасности Гостехкомиссии при Президенте РФ?

а) Руководящие документы по защите от несанкционированного доступа

б) Руководство по защите баз данных

в) Устав предприятия по защите информации

  1. Что такое политика информационной безопасности организации

а) Набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию

б) Уничтожение, модификация, копирование информации в организации

в) Набор административных документов, утвержденных в организации

г) Совокупность механизмов компьютерных систем

д) Инструкции администраторам по настройке информационных систем

  1. Что входит в задачи службы безопасности организации?

а) Выявление лиц, проявляющих интерес к коммерческой тайне предприятия

б) Разработка системы защиты секретных документов

в) Определение уязвимых участков на предприятии, аварии или сбои в работе которых могут нанести урон предприятию

г) Планирование, обоснование и организация мероприятий по защите информации

д) Взаимодействие с Управлением внутренних дел

е) Определение сведений, составляющих коммерческую тайну

ж) Арест нарушителей информационной безопасности

  1. Каковы меры управления персоналом для обеспечения информационной безопасности?

а) Описание должности (должностных обязанностей)

б) Разделение обязанностей

в) Минимизация привилегий

д) Подбор кадров

е) Подбор программно-технических средств

ж) Аттестация персонала

  1. Что относится к основным способам физической защиты?

а) Физическое управление доступом

б) Противопожарные меры

в) Защита поддерживающей инфраструктуры

г) Защита от перехвата данных

д) Защита мобильных систем

е) Проведение производственной зарядки

ж) Проведение соревнований по профессиональному мастерству

  1. Что понимается под средством физического управления доступом?

а) Механические, электронно-механические устройства и сооружения, специально предназначенные для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к защищаемой информации

б) Силовые действия охраны организации против потенциальных нарушителей

в) Указания в инструкциях на мероприятия по подержанию физической формы сотрудников

г) Программные меры защиты, предназначенные для создания препятствий потенциальным нарушителям

д) Информационное обеспечение секретных задач

  1. Каковы основные принципы построения систем физической защиты?

а) Принцип системности

б) Принцип непрерывности защиты

в) Принцип разумной достаточности

г) Гибкость управления и применения

д) Простота применения защитных мер и средств

е) Установка препятствий по мере сложности преодоления

ж) Установка обязательной связи звуковой и телевизионной сигнализации

  1. Какие действия являются реагированием на нарушение режима информационной безопасности организации?

а) Локализация и уменьшение вреда

б) Выявление нарушителя

в) Предупреждение повторных нарушений

г) Судебное рассмотрение

д) Проведение общего собрания организации

  1. Что относится к основным организационным мероприятиям, направленным на поддержание работоспособности информационных систем?

а) Резервное копирование

б) Поддержка программного обеспечения

г) Регламентные работы

д) Усложнение управления техническими средствами

е) Выполнение нескольких операций одним оперативно- техническим персоналом

  1. Что относится к средствам физической защиты информации?

а) Пропускная система на предприятиях

б) Ограждения на предприятиях

г) Системы видео наблюдения на предприятиях

д) Резервное копирование

е) Средства защиты от пожаров

ж) Средства защиты от жары, холода, влаги, магнетизма

з) Индивидуальные средства защиты

и) Противорадиационные средства защиты

к) Анализ требований к защищаемому сервису

л) Информатизация защищаемого сервиса, установленного на предприятии

  1. Какие имеются основные направления обеспечения информационной безопасности, связанные с человеческим фактором?

а) Разделение обязанностей

б) Минимизация привилегий

в) Описание должности (должностные инструкции)

г) Обучение персонала информационной безопасности

д) Планирование требований к защищаемому серверу

е) Информатизация защищаемого сервиса, установленного на предприятии

ж) Противорадиационные средства защиты

з) Индивидуальные средства защиты

  1. Что такое несанкционированный доступ (нсд)?

а) Доступ субъекта к объекту в нарушение установленных в системе правил разграничения доступа

б) Создание резервных копий в организации

в) Правила и положения, выработанные в организации для обхода парольной защиты

г) Вход в систему без согласования с руководителем организации

д) Удаление не нужной информации

  1. Что такое идентификация?

а) Процесс распознавания элемента системы, обычно с помощью заранее определенного идентификатора или другой уникальной информации

б) Указание на правильность выполненных операций по защите информации

в) Определение файлов, которые изменены в информационной системе несанкционированно

г) Выполнение процедуры засекречивания файлов

д) Процесс периодического копирования информации

  1. Что такое аутентификация?

а) Проверка подлинности идентификации пользователя, процесса, устройства или другого компонента системы (обычно осуществляется перед разрешением доступа).

б) Нахождение файлов, которые изменены в информационной системе несанкционированно

в) Проверка количества переданной и принятой информации

г) Определение файлов, из которых удалена служебная информация

д) Определение файлов, из которых удалена служебная информация

  1. Какими способами обеспечиваются основные уровни антивирусной защиты?

а) Поиск и уничтожение известных вирусов

б) Поиск и уничтожение неизвестных вирусов

в) Блокировка проявления вирусов

г) Определения адреса отправителя вирусов

д) Выявление создателей вирусов

  1. Какие имеются методы и средства поиска и уничтожения известных вирусов?

а) Метод сканирования и сравнения с уникальным фрагментом программного кода, находящимся в базе данных кодов известных компьютерных вирусов.

б) Метод проведения математических вычислений по заранее известным алгоритмам

в) Метод сравнения количества значений равных 0 с количеством значений равных 1

г) Метод сравнения контрольных служебных значений файлов

  1. Какие имеются методы и средства поиска и уничтожения неизвестных вирусов

а) Метод контроля целостности системы (обнаружение изменений)

б) Метод проведения математических вычислений по заранее известным алгоритмам

в) Метод выявления создателей вирусов

г) Метод проверки наличия служебных символов в файле

  1. На каких методах основана блокировка проявления вирусов

а) На методах перехвата характерных для вирусов функций

б) На методах вероятностного проявления кодов разрушения файлов

в) На методах проверок и сравнениях с контрольной копией

  1. Какие меры позволяют повысить надежность парольной защиты?

а) Наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки пунктуации и т.п.)

б) Управление сроком действия паролей, их периодическая смена

в) Ограничение доступа к файлу паролей — «Это фейл»

г) Ограничение числа неудачных попыток входа в систему (это затруднит применение «метода грубой силы») обучение пользователей

д) Выбор простого пароля (имя подруги, название спортивной команды)

  1. Что относится к идентификации и/или аутентификации людей на основе их физиологических характеристик?

а) Анализ особенностей голоса

б) Распознавание речи

в) Отпечатки пальцев

г) Сканирование радужной оболочки глаза

д) Анализ знаний по информационной безопасности

  1. Что относится к идентификации и/или аутентификации людей на основе их поведенческих характеристик?

а) Анализ динамики подписи (ручной)

б) Анализ стиля работы с клавиатурой

в) Анализ отпечатков пальцев

г) Анализ административных указаний по информационной безопасности

д) Отпечатки пальцев

  1. Что относится к идентификации и/или аутентификации людей на основе их поведенческих характеристик? (пиздец)

а) Специальные методы шифрования, кодирования или иного преобразования информации, в результате которого ее ключа криптограммы

б) Методы защиты информации с помощью контрольных сумм

в) Методы защиты информации организационными мероприятиями

г) Методы защиты информации с использование пароля

д) Физические методы передачи данных

  1. Что такое симметричный метод шифрования?

а) Криптографический метод защиты информации, где для шифрования и дешифрования используется один и тот же ключ, сохранение которого в секрете обеспечивает надежность защиты

б) Метод защиты информации, где для шифрования используется открытый ключ, для дешифрования используется закрытый ключ

в) Преобразование, которое позволяет пользователям проверить авторство и подлинность

г) Метод защиты информации, где шифрование и дешифрование производят набором симметричных ключей

  1. Какие методы применяются в криптографических методах защиты информации?

в) Аналитическое преобразование

г) Комбинированное преобразование

д) Замена контрольными суммами

е) Замена только цифр

  1. Что такое асимметричный метод шифрования?

а) Метод защиты информации, где для шифрования и дешифрования информации используются различные ключи

б) Метод защиты информации, где для шифрования и дешифрования информации используются больше трех ключей

в) Метод защиты информации, где для шифрования и дешифрования информации используют астрономические методы

г) Метод защиты информации, где шифрование и дешифрование информации осуществляют без ключа

  1. Что такое электронная цифровая подпись?

а) Реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе

б) Набор цифр персонально закрепленных за пользователями, неразрешенных к использованию любыми другими пользователями

в) Индивидуальный код, известный ограниченному кругу пользователей и зашифрованный симметричным ключом

г) Возможность зашифровывать сообщения индивидуальным (собственным) ключом

д) Электронный документ, достоверность которого подтверждена удостоверяющим центром

  1. Что такое закрытый ключ электронной цифровой подписи?

а) Уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи.

б) Ключ электронной цифровой подписи, который зашифрован с помощью единственного симметричного ключа владельца

в) Ключ электронной цифровой подписи, который хранится отдельно от других закрытый ключей

г) Ключ электронной цифровой подписи, которым шифруют заголовки электронных документов для установления подлинности владельца

  1. Что такое открытый ключ электронной цифровой подписи?

а) Уникальная последовательность символов, соответствующая закрытому ключу электронной цифровой подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе.

б) Последовательность символов, изготавливаемая любым пользователем информационной системы по своему усмотрению, предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе

в) Ключ электронной цифровой подписи, который стал известен в результате разведывательных, хакерских или других операций

г) Ключ электронной цифровой подписи, которым шифруют заголовки электронных документов для установления подлинности владельца

  1. Что такое Хэш-функция?

а) Труднообратимое преобразование данных (односторонняя функция), реализуемое, как правило, средствами симметричного шифрования со связыванием блоков

б) Уникальный метод шифрования и дешифрования информации

в) Выполнение предварительных операций перед шифрованием и дешифрованием

г) Функция распределения файлов по названиям и принадлежности к определенным документам

Системы контроля и управления доступом

Как любой театр начинается с вешалки, так и любая система информационной безопасности начинается с обеспечения физической безопасности самой информационной системы независимо от её вида, размера и стоимости.

Пара слов о сути, вместо введения.

В физической безопасности термин «контроль доступа» относиться к практикам ограничения доступа к собственности, в здания или помещения, доступ к которым разрешён только для авторизованных людей. Физический контроль доступа может быть достигнут путём использования человека (охранник, вышибала или служащий в приёмной), через механические способы, такие как замки и ключи на двери, или через технологические средства, такие как системы доступа, основанные на картах доступа или биометрическая идентификация.
Очевидно, что для того, чтобы обеспечить безопасность домашней информационной системы, необходимо, по крайней мере, запирать двери на ключ перед уходом. В противном случае у вас будет только два развлечения: восстановление утерянных данных и надежда на то, что ценная для вас информация была зашифрована…

image

В большинстве компаний, которые используют информационные системы для работы, на входе, если не в рабочее помещение, то в здание находится специально обученный человек с надписью «охрана» или «служба безопасности» на баджике или на спине :), который обычно требует предъявить пропуск тех, кто работает в этом здании и записывает в журнал всех, кто не работает в этом здании/помещении, но по каким-то деловым вопросам должен пройти внутрь. По легенде делает он это для того, чтобы можно было в случае утери имущества быстро найти того, кто мог это сделать из посторонних. Как правило, современные офисные помещения снабжены камерами видеонаблюдения, поэтому в случае неправомерных действий посетителей их можно будет легко идентифицировать. В идеале возле каждой двери в помещение должен сидеть специально обученный охранник, сверять пропуска и записывать в журнал то кто, в какое время входил и выходил (а лучше 2 на тот случай, если одному из охранников приспичит отойти на минутку).
Помимо охранника двери в помещения нужно закрывать на замки (хотя бы от тех же охранников 🙂 ).

image

Если с замками всё более или менее понятно (у каждого дома входная дверь закрывается на замок, а то и несколько), то с охранниками, которые аккуратно фиксируют в журнал каждое открывание двери обычно проблемы даже не успевают возникнуть, т. к. слишком нерентабельно содержать такую прорву людей не занятных в непосредственном рабочем процессе компании, который приносит основную прибыль.
Для того чтобы уменьшить издержки на охранном персонале и повысить уровень физической безопасности применяют системы контроля и управления доступом (в здания и помещения). Сразу оговорюсь, что присутствие охраны в лице человека всё же необходимо, поэтому мы далее не будет касаться этого вопроса, поскольку он выходит за рамки темы.

Система контроля доступа определяет то, кому разрешено входить или выходить, где им разрешено выходить или выходить, куда им разрешено выходить или выходить и когда им разрешено входить или выходить. Им в данном случае подразумевает тех, у кого есть пропуск (т.е. право доступа), тех, у кого пропуска нет, вопросы где, куда и когда входить/выходить волновать не должны.
Электронный контроль доступа использует мощь компьютеров для решения проблем, связанных с ограничениями, накладываемыми механическими замками и ключами (и в описанной выше мере охранниками). Электронная система определяет можно ли получить доступ к защищаемой области, базируясь на предоставленном разрешении (пропуске). Если доступ получен, дверь открывается на определённый временной период и это действие будет записано в системе. Если доступ отклонён, то дверь останется закрытой и попытка доступа тоже будет записана. Система будет также следить за дверью и подавать тревожный сигнал, если дверь будет открыта с применением грубой физической силы, либо будет оставаться открытой слишком большой промежуток времени (вдруг кто-то специально оставил дверь открытой так, чтобы внутрь мог пробраться посторонний).

image

Точками контроля доступа могут быть двери, турникеты, ворота, шлагбаумы, места на парковке, лифты или другие физические преграды, где получение доступа может быть проконтролировано электроникой. Обычно точкой контроля доступа является дверь, а доступ контролируется магнитным замком и считывателем карт.

Основной пользовательский интерфейс с системой контроля доступа – это считыватель смарткарт. Считыватель зависит от технологии смарткарт. Считыватели магнитных полос, штрих-кодов, или карт Вейганда обычно называются контактными считывателями и наиболее часто используются в магазинах и в банкоматах. Некоторые контактные считыватели требуют, чтобы карта была проведена на определённом расстоянии для того, чтобы данные можно было хорошо прочитать. Считыватели для proximity или бесконтактных смарткарт это фактически радиопередатчик. Широковещательное поле считывателя активирует карту, которая затем начинает радиопередачу со считывателем. Смарткарты с позолоченными контактами, видимыми на лицевой стороне карты, известны как контактные смарткарты и требуют таких же позолоченных контактов на считывателе для физического прикосновения к контактам карты, чтобы совершить передачу данных. Биометрические считыватели уникальны по технологическому использованию, но всегда требуют от пользователя предъявления им части своего тела, будь то прикосновение к считывателю для предъявления ему отпечатков пальцев или геометрии руки, или необходимость посмотреть в камеру для распознавания лица, сканирования радужной оболочки и сетчатки глаза, или произнесения некоторой фразы в микрофон для распознавания голоса.
Проще говоря, тот, у кого есть права на доступ в помещения (пропуск) предъявляет пропуск системе (подносит к proximity считывателю) и либо дверь открывается, либо не открывается, но в любом случае такое событие автоматически фиксируется в системе.

Нетривиальный случай внедрения.

Конечно затевать бурную деятельность по установке системы контроля доступа в помещение 15 кв.м, в котором сидит 3 человека особого смысла не имеет.

А вот для достаточно крупной компании, у которой есть по нескольку зданий в разных городах, стоит задуматься над внедрением полноценной системы контроля доступа для того, чтобы повысить общий уровень безопасности, в том числе и информационной.

Допустим компания «имя которой для нас не слишком важно» имеет несколько региональных филиалов. Причём регионы достаточно прилично удалены друг от друга. С некоторыми регионами для связи можно использовать только спутниковый канал связи с соответствующей пропускной способностью и прочими прелестями, связанными с временной задержкой распространения сигнала, как это показано на рисунке.

image

В каждом филиале есть несколько крупных зданий в крупных городах. Между зданиями линии связи достаточно качественные, поэтому на следующем рисунке не отображены.

image

Также на рисунке указано количество считывателей смарткарт. Дело в том, что контроллеры системы контроля доступа устанавливаются исходя из количества proximity считывателей (т.е. по сути дела мощность контроллера и его цена зависит от количества считывателей карт). Для здания в минимальной комплектации обеспечения физической защиты средствами СКУД необходимо ставить считыватели на парадный и запасной входы, склад, серверное помещение, кабинет директора, кабинет информационной безопасности (по одному на каждую сторону двери, т.е. по 2 считывателя на дверь). Итого для здания нужно установить 12 считывателей в среднем, т.к. будут вариации с теми помещениями, которые желательно ограничить внутри самого здания (это может быть чистая комната, лаборатория, зал для секретных переговоров, электрическая подстанция, гараж и т.п.). Кроме того, необходимо учитывать то, что в каждом здании установлены системы охраной и пожарной сигнализации (по требованиям соответствующих органов) и система видеонаблюдения, которые по хорошему необходимо увязать с системой контроля доступа для удобства управления.

Для такой большой системы хочется сформулировать требования. Всякие детали типа «система должна поддерживать proximity считыватели и смарткарты и регистрировать в журнале события входа и выхода из помещения» расписывать тут не будем в виду их очевидности.

Остановимся на основных моментах, и бенифитах, которых хотелось бы получить в результате от использования такой системы:
• Контроль доступа
• Учёт рабочего времени
• Повышение качества охраны
• Контроль автономных объектов, на которых нет постоянно присутствующего охранного и обслуживающего персонала (АТС и энергоузлы)
• Снижение вероятности нанесения материального ущерба путём хищения.
• Документирование и возможность ретроспективы всех событий по входу/выходу в помещения
• Интеграция с текущей IT-инфраструктурой
• Интеграция с уже установленными системами охранной, пожарной сигнализации и видеонаблюдения.
• Исключение несанкционированного доступа к рабочим местам (АРМ).
• Разграниченный контроль для разных групп сотрудников
• Возможность неограниченного масштабирования системы контроля и управления доступом до межрегионального уровня

Оговорим то, чего следует избегать на начальном этапе выбора платформы системы управления доступом:
• Использование непромышленных баз данных (в таком случае возникнет проблема со специалистами, способными с этой базой работать, а так же проблема передачи данных в/из базу/базы, не говоря про своевременную установку обновлений и устранение критических уязвимостей таких систем, а с недавнего времени ещё и требования закона «о персональных данных»)
• Отсутствие интеграции с Active Directory, в которой уже есть записи обо всех сотрудниках компании (придётся дублировать информацию в базу данных СКУД, при этом возникнут трудности с гарантией непротиворечивости данных внутри различных IT систем)
• Отсутствие возможности масштабирования на все филиалы компании (если система изначально не будет поддерживать возможность такого масштабирования, то при возникновении этой задачи её решение будет невозможно без полной смены ключевого оборудования СКУД)
• Отсутствие единой точки управления системой (отсутствие одного ответственного за систему, а также невозможно будет сказать, что происходит с доступом на объекты, если система не будет управляться централизовано)

Дополнительные требования, связанные с масштабированием системы:
• Система должна иметь открытую архитектуру для простоты интеграции в неё других компонент
• Обеспечивать простоту масштабирования системы до межрегионального уровня
• Обеспечивать поддержку удалённых автономных объектов по тонким каналам TCP/IP (56 кбит/с)
• Использовать промышленные СУБД (Oracle или MS SQL)
• Иметь интеграцию с Active Directory
• Обеспечение возможности использования карт не только для доступа в помещение, но и для двухступенчатой авторизации пользователей.

Более или менее всем вышеперечисленным требованиям удовлетворяет система OnGuard
Enterprice от Lenel Systems, показанная на рисунке ниже.

Более качественную картинку и полезную информацию можно посмотреть в брошюре по этой системе.

Что примечательного в данной системе (не сочтите за рекламу, просто в своё время пришлось просмотреть около полусотни различных систем контроля доступа как отечественных, так и зарубежных разработок):

Функциональные особенности и возможности:
• Открытая архитектура
• Использование готовых стандартных программных продуктов
• Централизованное управление комплексной системой безопасности
• Сохранение независимости локальных систем
• Централизованная база данных (любая реляционная на выбор заказчика)
• Использование единой идентификационной карты
• Масштабируемость до уровня крупных межрегиональных систем
• Интерфейс для работы с базами данных HR-систем
• Синхронизация данных между многочисленными базами данных через LAN/WAN
• Одновременный мониторинг событий и тревог в многочисленных регионах с одной рабочей станции
• Сегментированная архитектура баз данных
Системы, для которых имеются встроенные интерфейсы:
• Система изготовления пропусков
• Цифровые системы видеонаблюдения
• Охранная сигнализация
• Управление посетителями
• Защита информации
• Управление имуществом
• Электронная почта
• Управление кадрами
• Учет рабочего времени

Элементы комплексной системы безопасности, поддержка которых не ограничивается количественно:
• Региональные серверы
• Карты доступа
• Временные зоны
• Станции мониторинга
• Уровни доступа
• Релейные выходы
+ Интеграция с Active Directory и другими IT системами через программное обеспечение собственной разработки под названием OpenIT.

Самый последний пункт он наиболее важный, т.к. большинство подобных систем не имеют интеграции с Active Directory, а зря, ибо это большой плюс для больших компаний. Многие системы хорошо интегрируют в себя системы видеонаблюдения и сигнализации, OnGuard тоже может быть объединена с системами охранной и пожарной сигнализации и системой видеонаблюдения.

Попробуем сравнить две системы.

Давайте по нескольким критериям сравним систему от Lenel Systems с наиболее популярной системой контроля доступа отечественного производства Perco. Будем сравнивать самые продвинутые версии обоих производителей:

image

Что можно сказать по результатам сравнения. Разработчикам Perco нужно работать над системой. Для тех, кто захочет использовать систему контроля доступа от Perco для того, чтобы закрыть более одной двери или турникета для реально работающего предприятия, в котором больше 300 сотрудников, будет иметь возможность испытать на себе некоторые прелести закрытых проприетарных систем и качество технического сопровождения программного обеспечения отечественных производителей.
На этом остановимся на негативных отзывах.

image

Посмотрим теперь на плюсы, которые даёт использование системой промышленной СУБД (Oracle или MS SQL) и интеграция с Active Directory. Во первых, такую систему можно будет легко интегрировать с существующими системами кадрового учёта. Во вторых можно использовать немножко модифицированную карточку доступа для организации двухфакторной аутентификации пользователей на рабочей станции таким образом принуждая пользователя блокировать рабочую станцию перед покиданием помещения даже на несколько минут. В третьих, раз уж система будет взаимодействовать с Active Directory, то те же карточки можно использовать, скажем, для того, чтобы оплачивать обеды в кафетерии и не нагребать по карманам мелочь. Можно кончено использовать и обычнее банковские карточки для такого случая, но гораздо интереснее сделать сопряжение с программой бухгалтерского учёта и харчеваться в счёт зарплаты (тем более, что предприятие, таким образом, может несколько снизить налоговые отчисления).

Выведение.

В общем, если вы решили установить систему контроля доступа, то помните, что простой учёт рабочего времени может обеспечить и бабушка-вахтёр, которая будет аккуратно записывать время прихода и ухода человека. А для создания удобной в использовании и администрировании системы, обеспечивающей автоматический контроль доступа для каждого работника по индивидуальной схеме, сопряжённой с системами охранной сигнализации в видеонаблюдения, которая может в дальнейшем быть расширена на несколько зданий без изменения оборудования лучше подыскать что-нибудь с открытой архитектурой, промышленными СУБД и интеграцией с Active Directory. И самое главное не давайте отделу кадров слишком большие полномочия по работе с этой системой, иначе они превратят её в инструмент шантажа сотрудников за опоздания и отсутствие на рабочем месте.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *