diff --git a/01_information-security/README.md b/01_information-security/README.md index d94ade5..c1de7db 100644 --- a/01_information-security/README.md +++ b/01_information-security/README.md @@ -1,28 +1,38 @@ -# Домашнее задание к занятию «1.1. Информационная безопасность» +# Домашнее задание к занятию «1.1. Информационная безопасность: введение в специальность» -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](httpss://netology.ru). +Все задания обязательны к выполнению. Пожалуйста, присылайте на проверку все задачи сразу. -В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). -Обратите внимание: -* там, где требуется указать понятие, необходимо привести это понятие целиком -* там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. +## Цели задания +1. Научиться работать со статьями Конституции РФ, чтобы знать права и свободы граждан, а также в каких случаях они могут быть ограничены. +2. Научиться определять ответственность за нарушение законодательства в сфере компьютерной безопасности на основании Уголовного Кодекса РФ. +3. Разобраться в основных терминах и понятиях информационной безопасности на основании Федерального закона № 149-ФЗ “Об информации, информационных технологиях и защите информации”. +4. Понять, как на практике применять три свойства информации (конфиденциальность, доступность и целостность), чтобы анализировать инциденты в сфере ИБ. -Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. +Задания построены на изучении либо нормативных документов из законодательства РФ, либо на кейсах из практики. Это позволит вам сразу понять, с какими вопросами сталкивается специалист по ИБ и что работа с документами - это также важная часть профессиональных компетенций. -**Важно**: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса **платная подписка не требуется**. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. +## Чек-лист готовности к домашнему заданию +- [ ] Просмотрите запись вебинара “Информационная безопасность: введение в специальность”. +- [ ] Изучите текстовый материал к занятию с основными терминами в сфере ИБ. -## Предисловие +## Инструкция к заданию +1. Внимательно прочитайте все задания и вопросы к ним +2. В качестве результата пришлите ответы на вопросы в личном кабинете студента Нетологии +3. В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). Там, где требуется указать понятие, необходимо привести это понятие целиком. Там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. + +*Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. +Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все домашние задания рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д.* -В реальной работе вы, конечно же, по юридическим вопросам всегда будете консультироваться с юристами той организации, в которой будете работать. Но важно понимать, что юристы не являются экспертами в ИБ и даже не всегда являются экспертами в своей деятельности. -Поэтому нам с вами важно уметь на базовом уровне работать с правовыми системами. В рамках данного ДЗ вы поработаете с правовой системой Гарант. +## Предисловие + +В реальной работе вы, конечно же, по юридическим вопросам всегда будете консультироваться с юристами той организации, в которой будете работать. Но важно понимать, что юристы не являются экспертами в ИБ. Поэтому нам с вами важно уметь на базовом уровне работать с правовыми системами. В рамках данного домашнего задания вы поработаете с правовой системой Гарант. ## Задача №1 - Конституция -Вопросы: +Изучите Конституцию РФ и ответьте на следующие вопросы: 1. На основании чего может быть ограничено право на тайну переписки или телефонных переговоров? -1. В каких целях могут быть ограничены права и свободы гражданина и человека? +2. В каких целях могут быть ограничены права и свободы гражданина и человека? [Конституция в правовой системе Гарант](https://base.garant.ru/10103000/), после перехода по ссылке вы можете либо сразу перейти в нужный раздел, либо нажать на кнопку "Открыть документ в системе ГАРАНТ" в самом низу страницы: @@ -32,26 +42,18 @@ ![](pic/free-version.png) -## Задача №2 - Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений - -Ответственность за нарушения законодательства прописана в Федеральных Законах и Кодексах (Административном, Уголовном и других). - -Так вот вам необходимо провести небольшое исследование и ответить на следующий вопросы: -1. Какая ответственность предусмотрена за нарушение прав, описанных в части 2 статьи 23 Конституции РФ -1. Что подразумевается под нарушением в данном случае? -1. В формулировка в Конституции выглядит следующим образом: "тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений". Что в данном случае подразумевается под "иными сообщениями"? - -Для ответа на этот вопрос вам необходимо ознакомиться с [Уголовным Кодексом РФ](https://base.garant.ru/10108000/) (далее – УК РФ), а именно разделом ["Преступления против личности"](https://base.garant.ru/10108000/ae5f9867312347a00f66bc08a4b4fa06/) глава 19 ["Преступления против конституционных прав и свобод человека и гражданина"](https://base.garant.ru/10108000/19c8468328410ee601c10ce70e26f7f3/). Там есть статья, отвечающая на эти вопросы. - -Вам необходимо её найти и, самое важное, почитать комментарии по ссылкам: +#### Требования к ответу по задаче №1: +- [ ] даны развернутые ответы на оба вопроса; +- [ ] указаны номера статей и пунктов Конституции РФ, на основании которых составлены комментарии. -![](pic/garant.png) +## Задача №2 - "Взламывать вместе – всегда веселее!" -## Задача №3 - "Взламывать вместе – всегда веселее!" +Ответственность за нарушения законодательства прописана в Федеральных Законах и Кодексах (Административном, Уголовном и других). -В рамках всё того же [УК РФ](https://base.garant.ru/10108000/), а именно раздела ["Преступления против общественной безопасности и общественного порядка"](https://base.garant.ru/10108000/d67615e380180e02ecd5ecde81a784be/) главы 28 ["Преступления в сфере компьютерной информации"](https://base.garant.ru/10108000/42bb11d7291ec544e2ec2604179c0da1/) описана ответственность за неправомерный доступ к охраняемой законом компьютерной информации (обратите внимание: именно компьютерной - в той же статье вы найдёте определение этого термина), если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации. +В рамках [УК РФ](https://base.garant.ru/10108000/), а именно раздела ["Преступления против общественной безопасности и общественного порядка"](https://base.garant.ru/10108000/d67615e380180e02ecd5ecde81a784be/) главы 28 ["Преступления в сфере компьютерной информации"](https://base.garant.ru/10108000/42bb11d7291ec544e2ec2604179c0da1/) описана ответственность за неправомерный доступ к охраняемой законом компьютерной информации (обратите внимание: именно компьютерной - в той же статье вы найдёте определение этого термина), если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации. -Соответственно, нас интересует только один вопрос: какова ответственность за это деяние и от чего она зависит? +Ответьте на вопрос: +1. какова ответственность за это деяние и от чего она зависит?
Подсказка @@ -61,21 +63,42 @@ Но раз уж вы посмотрели - то обратите особое внимание на то, что деяния, совершённые группой лиц по предварительному сговору или организованной группой лиц всегда наказывается "строже".
-## Задача №4 - Закон "Об информации, информационных технологиях и защите информации" +#### Требования к ответу по задаче №2: +- [ ] дан развернутый ответ на вопрос; +- [ ] указаны номера статей и пунктов Уголовного Кодекса РФ, на основании которых составлены комментарии. + + +## Задача № 3 - Закон "Об информации, информационных технологиях и защите информации" + +Изучите [Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" в системе ГАРАНТ"](https://base.garant.ru/12148555/). -Вопросы: +Ответьте на вопросы: 1. В рамках закона вводится понятие "Конфиденциальность информации", приведите его определение. -1. Чем предоставление информации отличается от распространения информации? -1. Сохранение каких трёх ключевых аспектов подразумевается в термине "Информационная безопасность"? +2. Чем предоставление информации отличается от распространения информации? +3. Сохранение каких трёх ключевых аспектов подразумевается в термине "Информационная безопасность"? -[Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" в системе ГАРАНТ"](https://base.garant.ru/12148555/). +#### Требования к ответу по задаче №3: +- [ ] даны развернутые ответы на все три вопроса; -## Задача №5 - Конфиденциальность, доступность, целостность -Внешний злоумышленник проник в банк и поменял остатки на счетах: списал деньги у добросовестного клиента и зачислил их на счет своего друга. А чтобы добросовестный клиент быстро не смог помешать, злоумышленник заблокировал ему доступ к собственному счету. +## Задача № 4 - Конфиденциальность, доступность, целостность -Ответьте на вопрос: были ли при этом нарушены конфиденциальность, целостность или доступность информации? +В результате утечки данных о клиентах одного из банков в руках злоумышленника оказались ФИО и номера телефонов клиентов. Воспользовавшись данной информацией, злоумышленник позвонил одному из клиентов банка и, представившись сотрудником банка, узнал данные для входа в интернет-банк. Это позволило ему войти в интернет-банк с учётными данными клиента, но попытка перевода средств на собственные счета (с карты клиента на счета злоумышленника) была заблокирована системой, при этом карта и учётная запись клиента остались функционирующими (не были заблокированы). + +Ответьте на вопрос: +1. Были ли при этом нарушены конфиденциальность, целостность или доступность информации? Предоставьте ответ в формате: была нарушена XXX, потому что ... (где вместо XXX - конфиденциальность, доступность или целостность, а ... - пояснение, например "потому что теперь клиент не может получить доступ к собственному счёту). -Обратите внимание, что может быть нарушено может быть не только одно свойство (назовём их так) информации. +Обратите внимание, что может быть нарушено не только одно свойство (назовём их так) информации. + +#### Требования к ответу по задаче №4: +- [ ] в шаблон фразы вставлены правильные термины; +- [ ] дано понятное и подробное пояснение. + +## Критерии оценки +Задание считается выполненным при соблюдении следующих условий: +- [ ] cоставлены ответы на все вопросы всех 4 заданий; +- [ ] в заданиях 1, 2 и 3 даны развернутые ответы на вопросы и указаны номера статей и пунктов нормативно-правовых актов (НПА); +- [ ] в задании 4 в шаблон фразы вставлены правильные термины и дано пояснение. + diff --git a/02_privacy/README.md b/02_privacy/README.md index d9a60a3..9db51d4 100644 --- a/02_privacy/README.md +++ b/02_privacy/README.md @@ -1,55 +1,144 @@ -# Домашнее задание к занятию «1.2. Информация с ограниченным доступом (государственная и коммерческая тайны)» +# Домашнее задание к занятию «1.2. Информация с ограниченным доступом (тайны)» -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](httpss://netology.ru). +### Цель задания -В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). +Познакомиться с практической реализацией политики обработки персональных данных в организации в соответствии с рекомендациями Роскомнадзора. -Обратите внимание: -* там, где требуется указать понятие, необходимо привести это понятие целиком -* там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. +В результате выполнения задания вы сможете: -Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. +* понять принципы формирования политики обработки персональных данных; +* изучить рекомендации регулятора по формированию политики обработки персональных данных; +* сравнить две предложенные политики обработки персональных данных; +* найти недочёты в политике обработки персональных данных реальной организации с точки зрения рекомендаций регулятора; +* решить кейс на утечку коммерческой тайны. -**Важно**: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса **платная подписка не требуется**. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. +----- -## Задача №1 - Государственная тайна +### Чеклист готовности к домашнему заданию -Вопросы: -1. Чем допуск к государственной тайне отличается от доступа к сведениям, составляющим государственную тайну? -1. Какие степени секретности выделяются в рамках государственной тайны? -1. Что такое "гриф секретности" и чем он отличается от степени секретности? +1. Доступ к интернету. +2. Наличие личного Google Диска. +3. Доступ к тексту рекомендаций по составлению документа, который определяет политику оператора в отношении обработки персональных данных, опубликованных на сайте Роскомнадзор. -[Закон о государственной тайне](http://base.garant.ru/10102673/). +----- -## Задача №2 - Коммерческая тайна +### Инструкция к заданию -1. Что такое коммерческая тайна? -1. Какие меры по охране информации должны быть приняты в отношении коммерческой тайны? -1. Какие грифы можно использовать для носителей, содержащих информацию, составляющую коммерческую тайну? Должна ли быть указана ещё какая либо информация? +1. Ознакомьтесь с вводной частью задания. +2. Изучите текст рекомендаций на сайте Роскомнадзора. +3. Изучите обе предложенные политики обработки персональных данных (ПДн). +4. Ответьте на вопросы задания «Политика обработки персональных данных». +5. Изучите кейсовое задание «Утечка коммерческой тайны», ответьте на вопросы. -[Закон о коммерческой тайне](http://base.garant.ru/12136454/) +----- -## Задача №3 - Процедура имеет значение +### Дополнительные материалы для выполнения задания -На производственном предприятии произошел инцидент: поймали сотрудника - страстного любителя эспрессо, который скопировал с рабочего компьютера себе на личную флешку новейшие чертежи нано-кофеварки и попытался унести их домой. -На предприятии очень ответственно относились к защите своих ноу-хау, поэтому уже давно был утвержден следующий набор документов: -1. Приказ "О введении режима коммерческой тайны" -1. Приказ "Об отнесении чертежей нано-кофеварок к коммерческой тайне" -1. Приказ "Об установлении порядка обращения с коммерческой тайной и контроле за соблюдением такого порядка" -1. Приказ "О перечне лиц, допущенных к коммерческой тайне" -1. Приказ "О порядке нанесения на материальные носители и документы, содержащие коммерческую тайну, специальных грифов с указанием обладателя" +1. [Текст рекомендаций Роскомнадзора](https://old.rkn.gov.ru/personal-data/p908/). +1. [Политика обработки ПДн №1](assets/beeline.pdf). +1. [Политика обработки ПДн №2](assets/megafon.pdf). -Примечание*: обратите внимание, что несмотря на то, что в законе "коммерческая тайна" - это режим, в документах и приказах достаточно часто фигурирует "коммерческая тайна" как в смысле "режим", так и в смысле "информация, составляющая коммерческую тайну". +----- +## Задание 1 Политика обработки персональных данных -Достоверно известно, что меры, указанные в приказах были реализованы, условия для соблюдения работниками установленного работодателем режима коммерческой тайны также были созданы. +### Вводная часть задания -Однако, по результатам проведенной служебной проверки привлечь пойманного сотрудника даже к дисциплинарной ответственности не удалось. Оказывается, он неплохо знал основы информационной безопасности, с легкостью парировал обвинения в свою сторону и доказал, что режим коммерческой тайны на предприятии введен неверно, поскольку по его утверждению "ни в одном документе, в котором фигурировало бы упоминание коммерческой тайны, подписи он не ставил". +### Место политики обработки в системе организации защиты ПДн +Политика — это основной публичный документ, характеризующий принципы обработки оператором ПДн. Он не регламентирует внутренние процессы обработки, не детализирует их, а лишь базово описывает подходы оператора к обработке и защите ПДн. -Вопрос задания: исходя из того, что слова сотрудника правдивы, какие, с вашей точки зрениями, меры **точно** забыл принять работодатель для полноценного и юридически верного введения режима коммерческой тайны? +**Что следует помнить при изучении политики обработки ПДн** + +1. Для каждого оператора перечень категорий субъектов ПДн будет различным: кто-то обрабатывает только данные сотрудников, у кого-то есть ещё данные клиентов, заявителей и т. п. + +2. Для каждой категории субъектов может быть отдельный перечень: + +- цели обработки, +- правовые основания, +- объём обрабатываемых данных, +- перечень обрабатываемых данных, +- категория обрабатываемых ПДн, +- порядок обработки, +- условия обработки.
-Подсказка + Дисклеймер. + +* Политики обработки персональных данных приведены здесь исключительно в учебных целях. Их версия может быть неактуальной, а на сайтах организаций опубликованы более свежие документы. Для работы используйте политики, ссылки на которые размещены в задании. + +* В рамках задания вы изучите только один документ из множества документов, регламентирующих защиту ПДн в организации, а следовательно, не сможете охарактеризовать защиту персональных данных в организации в целом. -Речь идёт о 3 (трёх) мерах. + * Опубликованные рекомендации не являются обязательными для исполнения.
+ +## Задание + +**Что нужно сделать** + +1. Изучите рекомендации, составленные и опубликованные Роскомнадзором: + + [Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»](https://web.archive.org/web/20240324204350/https://rkn.gov.ru/personal-data/p908/). + + В этих Рекомендациях предложена типовая структура документа, определяющего политику в отношении обработки ПДн. + +2. Изучите политики обработки персональных данных и проанализируйте на вопрос соответствия рекомендациям: + + * [Билайн](assets/beeline.pdf), + * [МегаФон](assets/megafon.pdf). + + Вы также можете найти их в каталоге [assets](assets). + + +3. Для **каждой** политики обработки ПДн ответьте на вопросы: + + * Какие категории ПДн обрабатываются? + * Для всех ли категорий субъектов указаны цели обработки? + * Для всех ли категорий субъектов указаны правовые основания обработки? + * Для всех ли категорий субъектов указан состав обрабатываемых данных? + +4. Какая из двух приведённых политик наиболее всего соответствует рекомендациям? + +----- + +## Задание 2. Утечка коммерческой тайны + +### Описание кейса + +Произошла утечка документа, содержащего коммерческую тайну (КТ). Внутреннее расследование пришло к выводу, что документ слил сотрудник И. И. Иванов. Сам Иванов утверждает, что документ он действительно передавал, но о том, что это КТ, не знал. + +Какие дополнительные вводные данные имеются: + +- режим КТ на предприятии введён; +- Иванов включён в перечень допущенных к КТ; +- в колонтитулах документа большими буквами указано «КТ»; +- у Иванова нет раздела о работе с КТ в трудовом договоре, дополнительное соглашение к договору с ним не заключалось; +- Иванов подписал листы ознакомления с приказами, устанавливающими режим КТ в организации. + +### Вопросы к заданию + +1. Какие ошибки во введении и обеспечении режима коммерческой тайны вы смогли найти в описании кейса? +2. Смогут ли привлечь сотрудника к ответственности? + +----- + +### Правила приёма работы + +1. Отправлена ссылка на Google Документ с выполненным заданием в личном кабинете. +2. В документе настроены права доступа «Просматривать могут все в Интернете, у кого есть ссылка». Ссылка на инструкцию: [Как предоставить доступ к файлам и папкам на Google Диске](https://support.google.com/docs/answer/2494822?hl=ru&co=GENIE.Platform%3DDesktop). + +----- + +### Критерии оценки + +Зачёт ставится, если присланный документ соответствует критериям. + +Задание 1 + +- правильно определено, какая политика соответствует рекомендациям. + +Задание 2 + +- указаны ошибки во введении и обеспечении режима коммерческой тайны в описанном кейсе; +- указано, правомочно ли привлечение сотрудника к ответственности. + +Задание направляется на доработку, если оно не выполнено или выполнено частично, в логике выполнения есть противоречия, существенные недостатки, нарушена методология. diff --git a/03_privacy/assets/alfabank.pdf b/02_privacy/assets/alfabank.pdf similarity index 100% rename from 03_privacy/assets/alfabank.pdf rename to 02_privacy/assets/alfabank.pdf diff --git a/03_privacy/assets/beeline.pdf b/02_privacy/assets/beeline.pdf similarity index 100% rename from 03_privacy/assets/beeline.pdf rename to 02_privacy/assets/beeline.pdf diff --git a/03_privacy/assets/gazprombank.pdf b/02_privacy/assets/gazprombank.pdf similarity index 100% rename from 03_privacy/assets/gazprombank.pdf rename to 02_privacy/assets/gazprombank.pdf diff --git a/03_privacy/assets/megafon.pdf b/02_privacy/assets/megafon.pdf similarity index 100% rename from 03_privacy/assets/megafon.pdf rename to 02_privacy/assets/megafon.pdf diff --git a/03_privacy/assets/mts.pdf b/02_privacy/assets/mts.pdf similarity index 100% rename from 03_privacy/assets/mts.pdf rename to 02_privacy/assets/mts.pdf diff --git a/03_privacy/assets/sberbank.pdf b/02_privacy/assets/sberbank.pdf similarity index 100% rename from 03_privacy/assets/sberbank.pdf rename to 02_privacy/assets/sberbank.pdf diff --git a/03_audit b/03_audit new file mode 100644 index 0000000..35f0c0e --- /dev/null +++ b/03_audit @@ -0,0 +1 @@ +# Домашнее задание к занятию «2.1. Аудит информационной безопасности» diff --git a/03_audit_IS/README.md b/03_audit_IS/README.md new file mode 100644 index 0000000..1dc6e9c --- /dev/null +++ b/03_audit_IS/README.md @@ -0,0 +1,100 @@ +# Домашнее задание к занятию «2.1. Аудит информационной безопасности» + +В практике три задания: одно обязательное, два дополнительных, со звёздочкой, их выполнять можно по желанию, если вы хотите глубже разобраться в теме. + +Пожалуйста, присылайте на проверку все задачи сразу. + + +## Цели задания + +1. Научиться определять активы компании и соотносить их с федеральным законом. +2. Понять, как сформировать экспертную группу для проведения аудита информационной безопасности на предприятии. +3. Научиться формулировать задачи для каждого участника экспертной группы по аудиту информационной безопасности на предприятии. + +Задания построены на кейсе из реальной бизнес-практики. Это позволит вам сразу понять, с какими вопросами может столкнуться специалист по информационной безопасности в начале работы. Часто аудит информационной безопасности — одна из первых рабочих задач, которую ставит руководство компании перед новым сотрудником. + + +## Чек-лист готовности к домашнему заданию +- [ ] Изучены все материалы занятия «Аудит информационной безопасности» в личном кабинете Нетологии. +- [ ] Изучен разбор кейса [«Как определить активы организации в контенте ИБ»](https://github.com/netology-code/ibb-homeworks/blob/IBB-33/casestudy_company%20assets.md). +- [ ] Изучены дополнительные материалы к занятию. + +## Инструкция к заданию + +1. Внимательно прочитайте все задания и вопросы к ним +2. Скачайте [Шаблона домашнего задания](https://u.netology.ru/backend/uploads/lms/content_assets/file/3948/%D0%90%D1%83%D0%B4%D0%B8%D1%82_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D0%BE%D0%B9_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8.docx) на своё устройство (скачивание начнётся автоматически при нажатии на ссылку документа). +3. Откройте его на своём Google Диске. +4. Выполните домашнее задание в шаблоне. +5. Для проверки домашнего задания отправьте ссылку на ваш документ в личном кабинете Нетологии. +6. Перед тем как отправить документ, убедитесь, что вы открыли доступ на просмотр всем, у кого есть ссылка. Если необходимо прикрепить дополнительные ссылки, просто добавьте их в свой Google Документ. +7. Подробнее о работе с Google-документами и загрузке решения на проверку можно узнать из инструкции [«Как работать с файлом»](https://l.netology.ru/instruktsiya-po-materialami-dlya-obucheniya). +8. Любые вопросы по решению задач задавайте в чате учебной группы. + + +## Инструменты +Для поиска правовой информации используйте справочники: +- [Консультант Плюс](https://www.consultant.ru/)*, +- [Гарант](https://www.garant.ru/)*. + +**Бесплатны в базовой версии.* + +## Задание №1. Активы компании в контексте ИБ + +Организация «Новейшие технологии» занимается разработкой средств защиты информации и занимает лидирующее место на мировом рынке. + +В организации введён режим коммерческой тайны и имеется секрет производства, который заключается в программном коде, используемом для прошивки BIOS. После прошивки BIOS отпадает потребность в использовании средств доверенной загрузки. + +Генеральный директор очень трепетно относится к этому программному коду, и поэтому он записан всего на два USB-накопителя, на которые нанесён гриф «Коммерческая тайна». Один накопитель постоянно хранится в сейфе генерального директора как резервная копия, а второй выдаётся под подпись программистам и по окончании рабочего дня снова убирается в сейф. + +Отдел кадров для оформления сотрудников использует только электронные документы, которые хранятся в отдельной базе данных. Доступ к базе данных осуществляется с автоматизированных рабочих мест сотрудников отдела кадров с использованием локально-вычислительной сети. + +Кроме того, в организации имеется отдел закупок, который, помимо закупок расходных материалов в интернет-магазинах, занимается закупкой транспорта для использования в качестве служебных машин. Для этого отдел использует интернет-площадку «Торги». + +#### Ответьте на вопросы: +1. Какие активы на предприятии требуют защиты? +2. Какие федеральные законы регулируют работу с этими активами? + + +#### Требования к результатам выполнения задания +- [ ] Вы нашли минимум четыре актива предприятия. +- [ ] Перечень активов оформлен в таблицу, и к каждому активу указан регулирующий область федеральный закон. + +--- +## Дополнительные задания со звездочкой + +## Задание №2*. Активы предприятия + +Вы устроились на работу в организацию, и сегодня первый рабочий день. Руководитель поставил перед вами задачу — провести аудит информационной безопасности предприятия. + +Изучите [Устав ООО «Компания»](https://static.beeline.ru/upload/contents/297/PJSC_VimpelCom_Charter_14.10.2021.pdf). + +#### Ответьте на следующие вопросы + +1. Какие активы на предприятии требуют защиты? +2. Какие федеральные законы регулируют работу с этими активами? + + +#### Требования к результатам выполнения задания № 2 +- [ ] Вы нашли минимум пять активов предприятия. +- [ ] Перечень активов оформлен в таблицу, и к каждому активу указан регулирующий область федеральный закон. + +## Задание № 3. Экспертная группа для аудита + +Вы определили активы предприятия. Теперь необходимо собрать экспертную группу для проведения аудита информационной безопасности. + +#### Ответьте на вопросы +1. Кто должен войти в экспертную группу на предприятии? Для каждого участника группы пропишите роли и вопросы, на которые он должен ответить за время проведения аудита. +2. Какую информацию об имеющихся объектах информационной инфраструктуры необходимо запросить у экспертной группы для того, чтобы ответить на вопросы из пункта 1? + +#### Требования к результатам выполнения задания № 3 +- [ ] Вы составили минимум пять ролей для экспертной группы. +- [ ] Для каждого члена экспертной группы прописана роль. +- [ ] Для каждого члена экспертной группы прописан перечень вопросов, на которые он должен найти ответы в рамках кейса. +- [ ] Данные оформлены в таблицу по шаблону к домашнему заданию. + +## Критерии оценки домашнего задания + +Домашнее задание считается выполненным при соблюдении следующих условий: +- [ ] составлены развёрнутые ответы на все вопросы обязательного задания 1; +- [ ] если вы выполняли задания со звёздочкой, составлены развёрнутые ответы на все вопросы заданий 2 и 3; +- [ ] задания выполнены в копии шаблона домашнего задания. diff --git a/03_privacy/README.md b/03_privacy/README.md deleted file mode 100644 index 6e741bf..0000000 --- a/03_privacy/README.md +++ /dev/null @@ -1,56 +0,0 @@ -# Домашнее задание к занятию «1.3. Информация с ограниченным доступом (персональные данные и другие виды тайн)» - -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). - -В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). - -Обратите внимание: -* там, где требуется указать понятие, необходимо привести это понятие целиком -* там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. - -Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. - -**Важно**: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса **платная подписка не требуется**. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. - -## Задача №1 - Персональные данные - -Вопросы: -1. Что такое персональные данные? -1. Что такое биометрические персональные данные? -1. Какие данные должно включать в себя согласие в письменной форме субъекта ПДн на обработку его ПДн? -1. В каком случае оператор вправе продолжить обработку ПДн даже при отзыве согласия на обработку ПДн со стороны субъекта ПДн? - -[Закон о персональных данных](https://base.garant.ru/12148567/). - -## Задача №2 - Политика обработки ПДн - -Роскомнадзор подготовил [Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»](https://rkn.gov.ru/personal-data/p908/). - -В этом документе предложена типовая структура документа, определяющего политику в отношении обработке ПДн. - -В частности, в нём фигурирует следующая рекомендация: -``` -К категориям субъектов персональных данных могут быть отнесены, в том числе: -- работники оператора, бывшие работники, кандидаты на замещение вакантных должностей, а также родственники работников; -- клиенты и контрагенты оператора (физические лица); -- представители/работники клиентов и контрагентов оператора (юридических лиц). - -В рамках каждой из категорий субъектов и применительно к конкретным целям рекомендуется перечислить все обрабатываемые оператором персональные данные, а также, если применимо, отдельно описать все случаи обработки специальных категорий персональных данных и биометрических персональных данных. -``` - -Вам необходимо ознакомиться с документами ряда организаций, определяющих подобную политику и выделить тех, кто соблюдает указанную рекомендацию (если таковые имеются). -* [Сбербанк](https://www.sberbank.ru/ru/pol_pd) -* [Альфа-Банк](https://alfabank.ru/about/personal_politics/) -* [Газпромбанк](https://www.gazprombank.ru/security/#basic-2955731) -* [МТС](https://moskva.mts.ru/about/investoram-i-akcioneram/korporativnoe-upravlenie/dokumenti-pao-mts) -* [Билайн](https://moskva.beeline.ru/about/about-beeline/disclosure/documents/) -* [Мегафон](https://moscow.megafon.ru/help/info/blanks_docs/obrabotka_pers_dan/) - -На всякий случай, мы их сохранили в формате PDF (на случай если веб-сайты указанных организаций будут недоступны). Локальные копии сохранены только в учебных целях. - -Вы можете с ними ознакомиться в каталоге [assets](assets) - -## Дополнительная информация - -Рекомендуем вам ознакомиться с [часто задаваемыми вопросами по защите субъектов персональных данных](https://rkn.gov.ru/treatments/p459/p468/). - diff --git a/04_regulation/README.md b/03_regulation/README.md similarity index 92% rename from 04_regulation/README.md rename to 03_regulation/README.md index 454a42e..9089197 100644 --- a/04_regulation/README.md +++ b/03_regulation/README.md @@ -1,4 +1,4 @@ -# Домашнее задание к занятию «2.1. Нормативное регулирование» +# Домашнее задание к занятию «2.2. Нормативное регулирование» В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). @@ -25,14 +25,14 @@ Формат, в котором опубликованы ГОСТ'ы на этом сайте не очень удобен, поэтому многие пользуются альтернативными системами, например [Электронным фондом правовой и нормативно-технической документации](http://docs.cntd.ru). Суть задания: вам нужно найти этот ГОСТ и найти примечание к термину Физическая защита информации, в котором и будет ответ на указанный вопрос. Вам необходимо указать: -1. Может ли здание считать объектом защиты информации +1. Может ли здание считаться объектом защиты информации 1. На основании чего вы даёте тот или иной ответ (привести цитату из документа) Ответ должен быть сформулирован в формате: "Да, является (или нет, не является), поскольку в документе <название документа> указано следующее: <цитата, подтверждающая ваше заключение>". ## Задача №2 - Лицензия на ТЗКИ -ФСТЭК РФ ведёт на своём сайте ведёт [Реестр лицензий на деятельность по технической защите конфиденциальной информации](https://fstec.ru/litsenzionnaya-deyatelnost/tekhnicheskaya-zashchita-informatsii/72-reestry/216-reestr01) +ФСТЭК РФ ведёт на своём сайте [Реестр лицензий на деятельность по технической защите конфиденциальной информации](https://reestr.fstec.ru/) Когда вы работаете на стороне Заказчика и планируете проведение работ по ТЗКИ, то привлекать необходимо организацию, которая обладает лицензией на соответствующий вид работ. diff --git a/04_classification/README.md b/04_classification/README.md new file mode 100644 index 0000000..c318ce4 --- /dev/null +++ b/04_classification/README.md @@ -0,0 +1,201 @@ +# Домашнее задание к занятию «2.3. Классификация и категоризация информации, информационных систем» + +### Цель задания + +Информационная система персональных данных (ИСПДн) включает персональные данные и средства, которые используют для их обработки и защиты. Одной из ключевых задач специалиста по ИБ является аудит систем защиты персональных данных. Такой аудит включает определение уровня защищённости ИСПДн. + +В результате выполнения задания вы сможете: + +1. Выявить ИСПДн +2. Определить требуемый уровень защищённости ИСПДн + +----- + +### Чеклист готовности к домашнему заданию + +1. Доступ к сети Интернет. +2. Наличие личного Google Диска. +3. Изучены и находятся в доступе: +- Постановление Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" +- Федеральный закон "О персональных данных" от 27.07.2006 N 152-ФЗ + +----- + +### Инструкция к заданию + +1. Внимательно изучите условие задания. +1. Обратите особое внимание на опросные листы. Именно по ним и будет выполняться задание. +1. Руководствуясь определениями из Закона, определите сколько на предприятии ИСПДн. Назовите каждую ИСПДн. Словами опишите что вы в каждую из них включаете. +1. Определите критерии, по которым будет определяться уровень защищенности ИСПДн. Обратите внимание на особые условия задания. Критерии перечислите в ответе к заданию. +1. Для каждой ИСПДн определите по требования ПП 1119 требуемый уровень защищенности. + +Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. + +Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. + +----- + +### Инструменты/ дополнительные материалы, которые пригодятся для выполнения задания + +1. Постановление Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" +2. Федеральный закон "О персональных данных" от 27.07.2006 N 152-ФЗ +3. [Портал госзакупок](https://zakupki.gov.ru/epz/main/public/home.html) +4. [Объект закупки](https://zakupki.gov.ru/epz/order/notice/ok504/view/documents.html?regNumber=0156200009920000498) +5. [Копия ТЗ](assets/tourist.docx) + +----- + +## Задание 1 «Уровни защищённости ИСПДн предприятия» + +Вы специалист по ИБ, который недавно работает на небольшом предприятии. Предприятие только открывается и поэтому необходимо выстроить процесс защиты персональных данных согласно требованиям законодательства. + +Руководитель поручил вам начать с выявления информационных систем персональных данных, а затем - определить их уровень защищённости. + +Компания занимается оказанием услуг физическим лицам, а именно: стиркой и глажкой шнурков. + +В организации следующие отделы: бухгалтерия, отдел кадров, клиентская служба, постирочный цех, гладильный цех. + +Для того, чтобы собрать необходимые сведения, вы составляете опросный лист следующего вида: + +----- + + Опросный лист + +1. Название отдела + +2. Обрабатываются ли в отделе данные физических лиц (любые из перечисленных в любых комбинациях): ФИО, номер телефона, данные паспорта, семейное положение, электронная почта, домашний адрес, адрес по прописке, образование? да/нет + +*Обратите внимание: при чётком аргументированном отрицательном ответе дальнейшее заполнение не требуется, вышлите результат специалисту по ИБ* + +3. Данные каких лиц обрабатываются? Укажите обрабатываемые данные. Например, клиенты - ФИО, телефон; сотрудники - ФИО, паспорт и т.д. + +4. Для каждого типа физических лиц укажите: + + a. Данные какого количества лиц обрабатываются + + b. Какие программы используются при обработке, кто разработчик программы + +----- + +Заручившись поддержкой генерального директора, вы разослали по начальникам отделов опросные листы и получили заполненные опросные листы. Отбросив незаполненные листы дальше 2-го вопроса, вы получили следующее: + + Опросник 1 +1. Бухгалтерия +2. Да +3. Сотрудники: ФИО, паспортные данные, образование, семейное положение. + + a. 50 человек + + b. ПО “Зарплата и кадры”, разработано известной фирмой. + +----- + + Опросник 2 +1. Отдел кадров +2. Да +3. Сотрудники: ФИО, паспортные данные, образование, семейное положение. + + a. 50 человек + + b. ПО “Зарплата и кадры”, разработано известной фирмой. + +----- + + Опросник 3 +1. Клиентский сервис +2. Да +3. Клиенты: ФИО, номер телефона, адрес электронной почты + +a. 200 тысяч человек + +b. ПО “Счастливый клиент”, написано фрилансером по заказу фирмы. + +----- + +**Особые условия для задания:** + +- угрозы 1-го типа не актуальны +- угрозы 2-го типа актуальны только для ПО, выполненного фрилансером. + +----- + +Задание следует выполнить по следующему **шаблону**: + +1. Выявлены Х ИСПДн. + +2. Список ИСПДн + + a. ИСПДн 1, к ней относится ПО “Название” + + b. ИСПДн 2, к ней относится ПО “Название” + +3. Критерии определения уровня защищённости: критерий 1, критерий 2 и т.д + +4. Схема “Определение уровня защищённости” + + a. Название ИСПДн + + b. Критерий 1 - значение + + c. Критерий 2 - значение + + d. Критерий 3 - значение + +(для всех критериев, которые вы выявили) + + e. Уровень защищенности ИСПдн - Х + +**Требования к результату выполнения задания:** +1. Выявите ИСПДн +2. Приведите критерии определения уровня защищённости +3. Определите уровень защищённости каждой ИСПДн + +----- + +## Задание 2 «Туристический портал»* + +**Важно**: это задача необязательная (документ достаточно большой, поэтому будьте готовы) + +Выполним интересную работу: посмотрим на то, как реальные Заказчики в своих документах формируют различные требования к системам (в том числе к системам защиты информации). Вас не должен пугать размер документов (через какое-то время вы научитесь их просто "пролистывать"). Важно иметь перед глазами пример того, как реально строятся требования. + +Подобный опыт позволит вам формулировать требования как на стороне Заказчика (вы увидите, как это делают другие), так и на стороне исполнителя (вы поймёте, что требуют Заказчики). + +Единственное, мы сразу оговоримся, не всегда подобные документы составляются корректно, поэтому брать и бездумно копировать - не стоит. + +В качестве источника подобного рода документов хорошо подходит [портал госзакупок](https://zakupki.gov.ru/epz/main/public/home.html). Именно документы оттуда мы и будем рассматривать. + +**Важно**: не пугайтесь тем и терминов, которых вы пока не знаете. Мы их будем проходить в своё время, пока же вы можете их просто пропускать (например, всё, что связано с криптографией). + +В качестве документа мы рассмотрим техническое задание на выполнение работ по созданию информационной системы «Туристический портал Пермского края» с выполнением работ по разработке и внедрению системы защиты информации с поставкой, установкой, настройкой средств защиты информации и аттестацией информационной системы по требованиям защиты информации. + +Сам объект закупки находится по адресу https://zakupki.gov.ru/epz/order/notice/ok504/view/documents.html?regNumber=0156200009920000498 + +Документы (в частности, ТЗ) находятся на вкладке: Вложения. + +На всякий случай, мы сохранили [копию ТЗ](assets/tourist.docx). + +1. Из каких подсистем состоит система (перечислите их названия)? +1. Какие три режима функционирования режима предусмотрены (кратко опишите, для чего каждый режим предназначен и какие функции в каждом режиме доступны)? +1. Какие требования доступности предъявляются к системе? +1. Какие требования предъявляются к подсистеме регистрации и учёта (а конкретно к журналированию событий)? +1. Какие меры должны быть включены в комплекс организационных и технических мер, направленных на нейтрализацию актуальных угроз безопасности? +1. Какие документы из состава эксплуатационной документации должны быть разработаны на систему защиты информации? + +И самый главный вопрос: кто должен определять класс защищённости этой системы и как? + +----- + +### Правила приёма работы +1. Отправлена ссылка на Google-документ с выполненным заданием в личном кабинете. +2. К документу настроены права доступа «Просматривать могут все в Интернете, у кого есть ссылка». Ссылка на инструкцию [Как предоставить доступ к файлам и папкам на Google Диске](https://support.google.com/docs/answer/2494822?hl=ru&co=GENIE.Platform%3DDesktop) + +----- + +### Критерии оценки + +Зачёт ставится, если присланный документ соответствует следующим критериям: +- выявлены все ИСПДн +- приведены все критерии определения уровня защищённости +- уровень защищённости каждой ИСПДн определён, в ответе присутствует значение критериев определения для каждой ИСПДн. + +Работа направляется на доработку, если задание выполнено частично или не выполнено, в логике выполнения задания есть противоречия, существенные недостатки, нарушена методология. diff --git a/06_organization/assets/tourist.docx b/04_classification/assets/tourist.docx similarity index 100% rename from 06_organization/assets/tourist.docx rename to 04_classification/assets/tourist.docx diff --git a/05_certification/README.md b/05_certification/README.md new file mode 100644 index 0000000..e19fa0b --- /dev/null +++ b/05_certification/README.md @@ -0,0 +1,94 @@ +# Домашнее задание к занятию «2.4. Лицензирование, аттестация, сертификация» + +В практике три задания: первые два — обязательные, третье — дополнительное, со звёздочкой. Его выполнить можно по желанию, чтобы глубже разобраться в материале занятия. + +Пожалуйста, присылайте на проверку все задачи сразу. + + +## Цели задания +1. Научиться подбирать средства защиты информации (СЗИ) для информационных систем (ИС). +2. Научиться составлять перечень документов для аттестации ИС по требованиям ФСТЭК России. +3. Научиться формулировать требования к защите информационной системы персональных данных (ИСПДн) при работе со сторонним центром обработки данных (ЦОД). + +Задания основаны на реальных кейсах из практики. Это поможет вам разобраться, с какими вопросами может столкнуться специалист по информационной безопасности в начале работы. Аттестация и сертификация — важная часть бумажной ИБ, которая позволяет компании снижать риски ведения бизнеса. + + +## Чек-лист готовности к домашнему заданию +- [ ] Просмотреть материалы занятия «Лицензирование, аттестация, сертификация» в личном кабинете Нетологии. +- [ ] Изучить дополнительные материалы к занятию в личном кабинете Нетологии. + +## Инструкция к заданию +1. Внимательно прочитайте все задания и вопросы к ним. +2. Скачайте [Шаблона домашнего задания](https://u.netology.ru/backend/uploads/lms/content_assets/file/3949/%D0%9B%D0%B8%D1%86%D0%B5%D0%BD%D0%B7%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5__%D0%B0%D1%82%D1%82%D0%B5%D1%81%D1%82%D0%B0%D1%86%D0%B8%D1%8F__%D1%81%D0%B5%D1%80%D1%82%D0%B8%D1%84%D0%B8%D0%BA%D0%B0%D1%86%D0%B8%D1%8F.docx) на своё устройство (скачивание начнётся автоматически при нажатии на ссылку документа). +3. Откройте его на своём Google Диске. +4. Выполните домашнее задание в шаблоне. +5. Для проверки домашнего задания отправьте ссылку на ваш документ в личном кабинете Нетологии. +6. Перед тем как выслать ссылку, убедитесь, что ее содержимое не является приватным (открыто на просмотр всем, у кого есть ссылка). +7. Если необходимо прикрепить дополнительные ссылки, просто добавьте их в свой Google Docs. +8. Подробнее о работе с Google-документами и загрузке решения на проверку можно узнать из инструкции [«Как работать с файлом»](https://l.netology.ru/instruktsiya-po-materialami-dlya-obucheniya). +9. Любые вопросы по решению задач задавайте в чате учебной группы. + +## Инструменты +Для поиска правовой информации используйте следующие справочники: +- [Консультант Плюс](https://www.consultant.ru/)*, +- [Гарант](https://www.garant.ru/)*. + +*Бесплатный в базовой версии. + +Для поиска информации о наличии сертификации у СЗИ используйте: +[Государственный реестр сертифицированных средств защиты информации от ФСТЭК России](https://reestr.fstec.ru/reg3). + +--- + +## Задача 1. Определение СЗИ для аттестации ГИС + +В ходе аудита вы установили, что часть информационных систем в компании относится к государственным информационным системам (ГИС). Эти ГИС имеют второй класс защищённости и установлены на операционной системе Windows 10. Вы совместно с менеджером по закупкам нашли в интернет-магазинах средства защиты информации, которые компания может себе позволить приобрести, и составили таблицу, разбив их по категориям. Вам предстоит выбрать одно СЗИ, которое максимально отвечает всем требованиям. + +### Процесс выполнения + +1. Определите, какие средства защиты информации в каждой категории вы можете использовать в ГИС, то есть какие имеют сертификат, чтобы успешно пройти аттестацию. +2. В шаблоне домашнего задания найдите категории и список возможных СЗИ. +3. Для каждого СЗИ проверьте наличие сертификата, сферу применения и возможность использования в вашем случае. Используйте данные с сайта + [Государственного реестра сертифицированных средств защиты информации от ФСТЭК России](https://reestr.fstec.ru/reg3). Также можно проверять информацию на сайтах конкретных производителей СЗИ. +4. Определите, какое средство защиты информации включает в себя функции всех категорий, за исключением категории «Средства доверенной загрузки». + +
+ Подсказка + +`Это средство защиты информации находится в категории «Средства защиты информации от несанкционированного доступа». ` + +
+ +### Требования к результатам выполнения задания 1 +- [ ] Вы точно определили, какие именно СЗИ и почему подходят под ваш кейс. +- [ ] Вы нашли СЗИ, которое включает в себя функции всех категорий, и указали цель его использования. +- [ ] Результаты оформили в таблицу шаблона домашнего задания. + +## Задача 2. Подготовка к аттестации ИС по требованиям ФСТЭК + +Вам нужно получить аттестат соответствия ИС компании по требованиям ФСТЭК России. Для этого необходимо провести аттестацию ИС. Вы привлекаете к этой задаче предприятие-лицензиата. Напишите список документов, который должна подготовить ваша компания для получения аттестата соответствия. +Опирайтесь на [Приказ ФСТЭК России от 29 апреля 2021 г. N 77](https://u.netology.ru/backend/uploads/lms/attachments/files/data/54671/%D0%9F%D1%80%D0%B8%D0%BA%D0%B0%D0%B7_%D0%A4%D0%A1%D0%A2%D0%AD%D0%9A_%D0%A0%D0%BE%D1%81%D1%81%D0%B8%D0%B8_%D0%BE%D1%82_29_%D0%B0%D0%BF%D1%80%D0%B5%D0%BB%D1%8F_2021_%D0%B3._N_77.pdf) + +### Требования к результатам выполнения задания 2 +- [ ] Вы составили полный список необходимых документов для сертификации. +- [ ] Результаты оформили в таблицу шаблона домашнего задания. + +--- +## Дополнительная задача со звездочкой * + +## Задача 3. Защита ЦОД* + +Ваша организация решила разместить информационную систему персональных данных (ИСПДн), второй уровень защищённости, на вычислительных мощностях в стороннем центре обработки данных (ЦОД). Для обеспечения защиты информации вам нужно юридически закрепить требования на предоставление вычислительных мощностей. Какие обязательные условия вы включите в договор с подрядчиком? + +### Требования к результатам выполнения задания 3 +- [ ] Вы составили список обязательных требований к ЦОД по вычислительным мощностям. +- [ ] Результаты оформили в таблицу шаблона домашнего задания. + + +## Критерии оценки домашнего задания + +Домашнее задание считается выполненным при следующих условиях: +- [ ] составлены развёрнутые ответы на все вопросы обязательного задания 1 и 2; +- [ ] если выполняли задание со звёздочкой, составлены развёрнутые ответы на все его вопросы; +- [ ] задания выполнены в копии шаблона домашнего задания. + diff --git a/06_organization/assets/ispdn.docx b/05_certification/assets/ispdn.docx similarity index 100% rename from 06_organization/assets/ispdn.docx rename to 05_certification/assets/ispdn.docx diff --git a/05_classification/README.md b/05_classification/README.md deleted file mode 100644 index 44cdb9f..0000000 --- a/05_classification/README.md +++ /dev/null @@ -1,83 +0,0 @@ -# Домашнее задание к занятию «2.2. Классификация и категоризация информации, информационных систем» - -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). - -В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). - -Обратите внимание: -* там, где требуется указать понятие, необходимо привести это понятие целиком -* там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. - -Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. - -Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. - -## Задача №1 - -Вопросы: -1. Сколько классов АС существует? Исходя из чего производится разделение АС на классы? -1. Сколько классов защищённости ГИС существует? Какой класс является самым высоким (наибольшее количество требований)? -1. Сколько уровней защищённости ПДн существует? Какой уровень является самым высоким (наибольшее количество требований)? -1. Сколько классов ИСОП существует? Какой класс является самым высоким (наибольшее количество требований)? -1. Сколько категорий значимости объектов КИИ существует? Какая категория является самой высокой (наибольшее количество требований)? -1. Сколько классов защищённости АСУ существует? Какой класс является самым высоким (наибольшее количество требований)? - -Ответ для каждого пункта предоставляйте в формате: - -``` -На основании документа <наименование органа, принявшего документ, название документа> существует <ваш ответ> классов АС: -- <...> -- <...> -- <...> - -Разделение на классы производится исходя из <ваш ответ>. -``` - -## Задача №2 КИИ - -В УК РФ есть статья, регламентирующая ответственность за неправомерное воздействие на КИИ РФ. - -Что нас интересует: ответственность за использование программ, изначально рассчитанных на модификацию информации, содержащейся в КИИ РФ, в случае если оно (использование) повлекло тяжкие последствия. - -## Задача №3 Классификация - -[В реестре ГИС Новосибирской области](https://iap.nso.ru/portal_t/ReestrIS/PublicListIS/90330927) присутствует "Единая государственная информационная система в сфере здравоохранения Новосибирской области". - -На основании 17-го приказа ФСТЭК попробуйте определить класс защищённости этой ИС. - -Для этого найдите данную ИС в реестре и раскройте информацию о ней (столбец "Инфо" иконка ![](assets/info.png)). Внимательно изучите паспорт ИС и предоставьте ответ в следующем виде: - -``` -В системе <не обрабатываются или обрабатываются> сведения, составляющие государственную тайну - -Ущерб в случае нарушения конфиденциальности определён как <ваша экспертная оценка> исходя из <ваши доводы> - -Ущерб в случае нарушения целостности определён как <ваша экспертная оценка> исходя из <ваши доводы> - -Ущерб в случае нарушения доступности определён как <ваша экспертная оценка> исходя из <ваши доводы> - -Уровень значимости = max(<конфиденциальность, степень ущерба>, <целостность, степерь ущерба>, <доступность, степень ущерба>) - -Масштаб ИС = <Федеральный или Региональный или Объектовый> - -На основании уровня значимости и масштаба ИС класс защищённости определён как <Ваш Ответ> -``` - -**Важно**: в данном случае мы не пытаемся угадать реальный класс защищённости, мы лишь на основании своей экспертной оценки пытаемся его определить. - -Если в ИС обрабатываются разные виды тайн, то уровень значимости определяется для каждого, а затем берётся максимальный. Для упрощения, будем считать, что в ИС обрабатывается только врачебная тайна (помимо ПДн). - -Кроме того (это не относится к реальной системе), будем считать, что в эта ИС обеспечивает автоматизацию следующей деятельности: -* ведение расписаний работы персонала -* врачебный амбулаторный прием -* фиксация фактов оказания медицинской помощи -* учёт выполнения врачебных назначений и процедур -* выписку рецептов и больничных листов -* проведение курсов процедур -* создания, проведения и хранения данных о проведенных диагностических исследованиях - -В случае выхода ИС из строя (временной недоступности, уничтожения или порчи данных), медицинские учреждения не смогут выполнять часть возложенных на них функций, поскольку придётся перейти на ручной режим работы. - -Обратите внимание: в соответствии с п.27 17 приказа, если в ГИС обрабатываются ПДн, то производится сопоставление уровня защищённости ПДн (УЗ ПДн) и класса защищённости ИС. Если УЗ ПДн требует более высокого класса ГИС (например, ПДн 2 УЗ могут обрабатываться только в К2 и К1), то производится повышение класса защищённости ГИС до соответствующего УЗ ПДн. Будем считать, что обрабатывается ПДн 2 УЗ . - -На всякий случай, мы сохранили PDF-копии [Паспорта](assets/passport.pdf) и [Положения](assets/info.pdf), если оригинальные документы недоступны. diff --git a/05_classification/assets/info.pdf b/05_classification/assets/info.pdf deleted file mode 100644 index 46db1dd..0000000 Binary files a/05_classification/assets/info.pdf and /dev/null differ diff --git a/05_classification/assets/info.png b/05_classification/assets/info.png deleted file mode 100644 index 35143f8..0000000 Binary files a/05_classification/assets/info.png and /dev/null differ diff --git a/05_classification/assets/passport.pdf b/05_classification/assets/passport.pdf deleted file mode 100644 index 2a6156e..0000000 Binary files a/05_classification/assets/passport.pdf and /dev/null differ diff --git a/06_organization/README.md b/06_organization/README.md deleted file mode 100644 index a27d26b..0000000 --- a/06_organization/README.md +++ /dev/null @@ -1,78 +0,0 @@ -# Домашнее задание к занятию «Организация защиты информации (часть 1)» - -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). - -В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). - -Обратите внимание: -* там, где требуется указать понятие, необходимо привести это понятие целиком -* там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. - -Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. - -Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. - -## Предисловие - -Сегодня выполним интересную работу: посмотрим на то, как реальные Заказчики в своих документах формируют различные требования к системам (в том числе к системам защиты информации). Вас не должен пугать размер документов (через какое-то время вы научитесь их просто "пролистывать"). Важно иметь перед глазами пример того, как реально строятся требования. - -Подобный опыт позволит вам формулировать требования как на стороне Заказчика (вы увидите, как это делают другие), так и на стороне исполнителя (вы поймёте, что требуют Заказчики). - -Единственное, мы сразу оговоримся, не всегда подобные документы составляются корректно, поэтому брать и бездумно копировать - не стоит. - -В качестве источника подобного рода документов хорошо подходит [портал госзакупок](https://zakupki.gov.ru/epz/main/public/home.html). Именно документы оттуда мы и будем рассматривать. - -**Важно**: не пугайтесь тем и терминов, которых вы пока не знаете. Мы их будем проходить в своё время, пока же вы можете их просто пропускать (например, всё, что связано с криптографией). - -## Задача №1 ИСПДн - -Рассмотрим https://zakupki.gov.ru/223/purchase/public/purchase/info/common-info.html?regNumber=32009341450 - -Документы находятся на вкладке: Документы Извещения. - -На всякий случай, мы сохранили [копию](assets/ispdn.docx). - -Подсказка: читайте с 32 страницы. - -1. Что представляет собой объект информатизации? -1. Каким требованиям должно удовлетворять поставляемое СЗИ от НСД в части (именно само СЗИ, а не его модули): - * СВТ - * СКН - * НДВ - -## Задача №2 Независимый регистратор - -Рассмотрим https://zakupki.gov.ru/epz/order/notice/ea44/view/documents.html?regNumber=0895100000120000114 - -Документы находятся на вкладке: Вложения. - -На всякий случай, мы сохранили [копию](assets/registrator.doc). - -Подсказка: читайте с 16 страницы. - -1. Что необходимо сделать (что является предметом закупки)? -1. Какие отчётные документы должны быть предоставлены по результатам работ? -1. Какой класс защищённости и уровень защищённости указаны Заказчиком для ИС? -1. Являются ли указанный Заказчиком класс защищённости и уровень защищённости итоговыми? - -## Задача №3 Туристический портал - -**Важно**: это задача необязательная (документ достаточно большой, поэтому будьте готовы) - -В качестве документа мы рассмотрим техническое задание на выполнение работ по созданию информационной системы «Туристический портал Пермского края» с выполнением работ по разработке и внедрению системы защиты информации с поставкой, установкой, настройкой средств защиты информации и аттестацией информационной системы по требованиям защиты информации. - -Сам объект закупки находится по адресу https://zakupki.gov.ru/epz/order/notice/ok504/view/documents.html?regNumber=0156200009920000498 - -Документы (в частности, ТЗ) находятся на вкладке: Вложения. - -На всякий случай, мы сохранили [копию ТЗ](assets/tourist.docx). - -1. Из каких подсистем состоит система (перечислите их названия)? -1. Какие три режима функционирования режима предусмотрены (кратко опишите, для чего каждый режим предназначен и какие функции в каждом режиме доступны)? -1. Какие требования доступности предъявляются к системе? -1. Какие требования предъявляются к подсистеме регистрации и учёта (а конкретно к журналированию событий)? -1. Какие меры должны быть включены в комплекс организационных и технических мер, направленных на нейтрализацию актуальных угроз безопасности? -1. Какие документы из состава эксплуатационной документации должны быть разработаны на систему защиты информации? - -И самый главный вопрос: кто должен определять класс защищённости этой системы и как? - diff --git a/06_organization/assets/registrator.doc b/06_organization/assets/registrator.doc deleted file mode 100644 index 5761f1d..0000000 Binary files a/06_organization/assets/registrator.doc and /dev/null differ diff --git a/06_threats/README.md b/06_threats/README.md new file mode 100644 index 0000000..fe57ed1 --- /dev/null +++ b/06_threats/README.md @@ -0,0 +1,44 @@ +# Домашнее задание к занятию «2.5. Моделирование угроз» + +Данное задание является “сквозным”. Чтобы его выполнить, необходимо успешно сдать практику по теме [“Аудит информационной безопасности”](https://github.com/netology-code/ibb-homeworks/tree/IBB-33/03_audit_IS). + + + +## Цель задания +1. Научиться составлять модель угроз информационной безопасности. + +Задания построены на методике ФСТЭК России, в соответствии с которой составляется модель угроз для государственных информационных систем и объектов критической информационной инфраструктуры. Умение работать в рамках данной модели является обязательной профессиональной компетенцией специалиста по ИБ. Через учебный кейс вы получите реальную практику работы с этим инструментом. + +## Чек-лист готовности к домашнему заданию +- [ ] Выполните домашнее задание [“2.1. Аудит информационной безопасности”](https://github.com/netology-code/ibb-homeworks/tree/IBB-33/03_audit_IS) +- [ ] Просмотрите запись вебинара “Моделирование угроз” в личном кабинете Нетологии +- [ ] Изучите документ [Методика оценка угроз безопасности от ФСТЭК России от 05 февраля 2021 г.](https://u.netology.ru/backend/uploads/lms/attachments/files/data/54611/%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B4%D0%BE%D0%BA%D1%83%D0%BC%D0%B5%D0%BD%D1%82_%D0%BE%D1%82_5_%D1%84%D0%B5%D0%B2%D1%80%D0%B0%D0%BB%D1%8F_2021_%D0%B3.__1_.pdf) +- [ ] Изучите пример [разбора кейса с моделированием угроз](https://github.com/netology-code/ibb-homeworks/blob/IBB-33/casestudy_threat_model.md) + +## Инструкция к заданию +* Внимательно прочитайте все задания и вопросы к ним +* Скачайте [Шаблона домашнего задания](https://u.netology.ru/backend/uploads/lms/content_assets/file/3891/%D0%9C%D0%BE%D0%B4%D0%B5%D0%BB%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5_%D1%83%D0%B3%D1%80%D0%BE%D0%B7.docx) на своё устройство (скачивание начнётся автоматически при нажатии на ссылку документа). +* Откройте его на своём Google Диске. +* Выполните домашнее задание в шаблоне +* Для проверки домашнего задания отправьте ссылку на ваш документ в личном кабинете Нетологии +* Перед тем как выслать ссылку, убедитесь, что ее содержимое не является приватным (открыто на просмотр всем, у кого есть ссылка) +* Если необходимо прикрепить дополнительные ссылки, просто добавьте их в свой Google Docs +* Подробнее о работе с Google-документами и загрузке решения на проверку можно узнать из инструкции [«Как работать с файлом»](https://l.netology.ru/instruktsiya-po-materialami-dlya-obucheniya). +* Любые вопросы по решению задач задавайте в чате учебной группы + +## Инструменты +[Методика оценка угроз безопасности от ФСТЭК России от 05 февраля 2021 г.](https://u.netology.ru/backend/uploads/lms/attachments/files/data/54611/%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B4%D0%BE%D0%BA%D1%83%D0%BC%D0%B5%D0%BD%D1%82_%D0%BE%D1%82_5_%D1%84%D0%B5%D0%B2%D1%80%D0%B0%D0%BB%D1%8F_2021_%D0%B3.__1_.pdf) + +Вы проанализировали активы организации, которые подлежат защите. Теперь настало время разработать модель угроз информационной безопасности для одного из активов. + +### Ответьте на следующие вопросы: +1. Какие возможны негативные последствия от реализации (возникновения) угроз безопасности информации? Напишите 3 самых негативных для выбранного актива. Обоснуйте, почему выбрали их. +2. Какие есть возможные объекты воздействия угроз безопасности информации? Напишите не менее 3. +3. Какие возможны способы реализации (возникновения) угроз безопасности информации. Напишите не менее 5. + +## Критерии оценки + +Домашнее задание считается выполненным при соблюдении следующих условий: +- [ ] По каждому вопросу написано минимальное требуемое количество пунктов +- [ ] Задание выполнено в копии шаблона домашнего задания + diff --git a/08_certification/pic/russian.png b/06_threats/pic/russian.png similarity index 100% rename from 08_certification/pic/russian.png rename to 06_threats/pic/russian.png diff --git a/08_certification/pic/settings-subtitles.png b/06_threats/pic/settings-subtitles.png similarity index 100% rename from 08_certification/pic/settings-subtitles.png rename to 06_threats/pic/settings-subtitles.png diff --git a/08_certification/pic/subtitles.png b/06_threats/pic/subtitles.png similarity index 100% rename from 08_certification/pic/subtitles.png rename to 06_threats/pic/subtitles.png diff --git a/08_certification/pic/translation.png b/06_threats/pic/translation.png similarity index 100% rename from 08_certification/pic/translation.png rename to 06_threats/pic/translation.png diff --git a/10_crypto-symmetric/README.md b/07_crypto-symmetric/README.md similarity index 94% rename from 10_crypto-symmetric/README.md rename to 07_crypto-symmetric/README.md index f64da48..0ac6cbf 100644 --- a/10_crypto-symmetric/README.md +++ b/07_crypto-symmetric/README.md @@ -1,4 +1,4 @@ -# Домашнее задание к занятию «Симметричные криптосистемы» +# Домашнее задание к занятию «3.1. Теоретические основы криптографии, симметричные криптосистемы» В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). @@ -8,11 +8,10 @@ ## Общие замечания по выполнению ДЗ -Если у вас что-то не получилось, то пишите в канал курса, обязательно указывая: -1. Номер ДЗ +Если у вас что-то не получилось, то пишите в разделе "Вопросы по заданию" в личном кабинете. 1. ОС 1. На каком шаге остановились -1. Скриншот ошибки +1. Скриншот ошибки (если есть возможность) 1. Краткое описание того, что сделали Пожалуйста, не пишите сообщения в стиле `я всё сделал по инструкции, ничего не работает` - это никоим образом не поможет решить проблему. @@ -21,7 +20,7 @@ Ознакомьтесь с [руководством по работе в терминале](../terminal) для вашей операционной системы. -## Задача №1 HashCat +## Задача №1 - HashCat ### Справка @@ -58,9 +57,9 @@ hashcat --help Распакуйте архив в каталог на вашем компьютере и откройте терминал каталоге, в котором расположены файлы `hashcat.bin` и `hashcat.exe` (см. [руководство по терминалу](../terminal)). -Для Linux необходимо запускать в терминале hashcat командой `./hashcat.bin` (находясь в том же каталоге), в Windows командой `hashcat.exe` (находясь в том же каталоге), а в Mac просто `hashcat` (при этом никакой архив с hashcat вам не нужен). +Для Linux необходимо запускать в терминале hashcat командой `./hashcat.bin` (находясь в том же каталоге), в Windows командой `.\hashcat.exe` (находясь в том же каталоге), а в Mac просто `hashcat` (при этом никакой архив с hashcat вам не нужен). -Далее для простоты мы будем просто писать `hashcat`, а не `./hashcat.bin` или `hashcat.exe`. +Далее для простоты мы будем просто писать `hashcat`, а не `./hashcat.bin` или `.\hashcat.exe`. ### Справка @@ -78,7 +77,7 @@ hashcat [options] hash [dictionary] Каким-то образом у вас оказался хэш пароля. Вот такой: `5693299e0bbe87f327caa802008af432fbe837976b1232f8982d3e101b5b6fab`. -Что нужно сделать: вам нужно попробовать по длине хэша угадать его тип (это будет один из тех, что упоминался на лекции). +Что нужно сделать: вам нужно попробовать по длине хэша угадать его тип (это будет один из тех, что упоминался на лекции, как минимум, в табличке в конце лекции).
Подсказка @@ -86,7 +85,10 @@ hashcat [options] hash [dictionary] Обратите внимание, мы не просто так говорим про длину.
-И запустить hashcat для подбора пароля в формате: +
+Использование hashcat + +Запустить hashcat для подбора пароля можно в следующем формате: `hashcat -m 5693299e0bbe87f327caa802008af432fbe837976b1232f8982d3e101b5b6fab wordlist.txt` @@ -110,15 +112,7 @@ hashcat [options] hash [dictionary] Т.е. мы собираемся осуществить атаку по словарю.
-Подсказка - -Мы рекомендуем вам использовать [`Common-Credentials/10-million-password-list-top-100000.txt`](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Common-Credentials/10-million-password-list-top-100000.txt). -
- -В качестве ответа пришлите название функции хэширования и "угаданный" пароль. - -
Проблемы с hashcat? Для этого случая мы сделали для вас небольшую утилиту, которая также умеет "взламывать" пароли. @@ -145,8 +139,11 @@ hashcat [options] hash [dictionary] * `Cracked: password` (хэш "взломан", `password` - то, что вам нужно) * `Not cracked` (хэш не "взломан", вы выбрали неверный алгоритм хэширования, ошиблись в написании хэша или файл словаря не содержит нужного слова)
+
-## Задача №2 VeraCrypt +В качестве ответа пришлите название функции хэширования и "угаданный" пароль. + +## Задача №2 - VeraCrypt ### Справка @@ -335,7 +332,6 @@ hashcat [options] hash [dictionary] - #### Mac Для Mac процедура полностью аналогична за исключением ряда отличий. diff --git a/10_crypto-symmetric/assets/cracker-x32.bin b/07_crypto-symmetric/assets/cracker-x32.bin similarity index 100% rename from 10_crypto-symmetric/assets/cracker-x32.bin rename to 07_crypto-symmetric/assets/cracker-x32.bin diff --git a/10_crypto-symmetric/assets/cracker-x32.exe b/07_crypto-symmetric/assets/cracker-x32.exe similarity index 100% rename from 10_crypto-symmetric/assets/cracker-x32.exe rename to 07_crypto-symmetric/assets/cracker-x32.exe diff --git a/10_crypto-symmetric/assets/cracker-x64.bin b/07_crypto-symmetric/assets/cracker-x64.bin similarity index 100% rename from 10_crypto-symmetric/assets/cracker-x64.bin rename to 07_crypto-symmetric/assets/cracker-x64.bin diff --git a/10_crypto-symmetric/assets/cracker-x64.exe b/07_crypto-symmetric/assets/cracker-x64.exe similarity index 100% rename from 10_crypto-symmetric/assets/cracker-x64.exe rename to 07_crypto-symmetric/assets/cracker-x64.exe diff --git a/10_crypto-symmetric/assets/icracker-x64.bin b/07_crypto-symmetric/assets/icracker-x64.bin similarity index 100% rename from 10_crypto-symmetric/assets/icracker-x64.bin rename to 07_crypto-symmetric/assets/icracker-x64.bin diff --git a/10_crypto-symmetric/pic/brew.png b/07_crypto-symmetric/pic/brew.png similarity index 100% rename from 10_crypto-symmetric/pic/brew.png rename to 07_crypto-symmetric/pic/brew.png diff --git a/10_crypto-symmetric/pic/hashcat.png b/07_crypto-symmetric/pic/hashcat.png similarity index 100% rename from 10_crypto-symmetric/pic/hashcat.png rename to 07_crypto-symmetric/pic/hashcat.png diff --git a/10_crypto-symmetric/pic/linux-01.png b/07_crypto-symmetric/pic/linux-01.png similarity index 100% rename from 10_crypto-symmetric/pic/linux-01.png rename to 07_crypto-symmetric/pic/linux-01.png diff --git a/10_crypto-symmetric/pic/linux-02.png b/07_crypto-symmetric/pic/linux-02.png similarity index 100% rename from 10_crypto-symmetric/pic/linux-02.png rename to 07_crypto-symmetric/pic/linux-02.png diff --git a/10_crypto-symmetric/pic/mac-01.png b/07_crypto-symmetric/pic/mac-01.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-01.png rename to 07_crypto-symmetric/pic/mac-01.png diff --git a/10_crypto-symmetric/pic/mac-02.png b/07_crypto-symmetric/pic/mac-02.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-02.png rename to 07_crypto-symmetric/pic/mac-02.png diff --git a/10_crypto-symmetric/pic/mac-install-00.png b/07_crypto-symmetric/pic/mac-install-00.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-00.png rename to 07_crypto-symmetric/pic/mac-install-00.png diff --git a/10_crypto-symmetric/pic/mac-install-01.png b/07_crypto-symmetric/pic/mac-install-01.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-01.png rename to 07_crypto-symmetric/pic/mac-install-01.png diff --git a/10_crypto-symmetric/pic/mac-install-02.png b/07_crypto-symmetric/pic/mac-install-02.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-02.png rename to 07_crypto-symmetric/pic/mac-install-02.png diff --git a/10_crypto-symmetric/pic/mac-install-03.png b/07_crypto-symmetric/pic/mac-install-03.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-03.png rename to 07_crypto-symmetric/pic/mac-install-03.png diff --git a/10_crypto-symmetric/pic/mac-install-04.png b/07_crypto-symmetric/pic/mac-install-04.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-04.png rename to 07_crypto-symmetric/pic/mac-install-04.png diff --git a/10_crypto-symmetric/pic/mac-install-05.png b/07_crypto-symmetric/pic/mac-install-05.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-05.png rename to 07_crypto-symmetric/pic/mac-install-05.png diff --git a/10_crypto-symmetric/pic/mac-install-06.png b/07_crypto-symmetric/pic/mac-install-06.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-06.png rename to 07_crypto-symmetric/pic/mac-install-06.png diff --git a/10_crypto-symmetric/pic/mac-install-07.png b/07_crypto-symmetric/pic/mac-install-07.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-07.png rename to 07_crypto-symmetric/pic/mac-install-07.png diff --git a/10_crypto-symmetric/pic/mac-install-08.png b/07_crypto-symmetric/pic/mac-install-08.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-08.png rename to 07_crypto-symmetric/pic/mac-install-08.png diff --git a/10_crypto-symmetric/pic/mac-install-09.png b/07_crypto-symmetric/pic/mac-install-09.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-install-09.png rename to 07_crypto-symmetric/pic/mac-install-09.png diff --git a/10_crypto-symmetric/pic/mac-settings.png b/07_crypto-symmetric/pic/mac-settings.png similarity index 100% rename from 10_crypto-symmetric/pic/mac-settings.png rename to 07_crypto-symmetric/pic/mac-settings.png diff --git a/10_crypto-symmetric/pic/veracrypt-solution.png b/07_crypto-symmetric/pic/veracrypt-solution.png similarity index 100% rename from 10_crypto-symmetric/pic/veracrypt-solution.png rename to 07_crypto-symmetric/pic/veracrypt-solution.png diff --git a/10_crypto-symmetric/pic/veracrypt.png b/07_crypto-symmetric/pic/veracrypt.png similarity index 100% rename from 10_crypto-symmetric/pic/veracrypt.png rename to 07_crypto-symmetric/pic/veracrypt.png diff --git a/10_crypto-symmetric/pic/win-01.png b/07_crypto-symmetric/pic/win-01.png similarity index 100% rename from 10_crypto-symmetric/pic/win-01.png rename to 07_crypto-symmetric/pic/win-01.png diff --git a/10_crypto-symmetric/pic/win-02.png b/07_crypto-symmetric/pic/win-02.png similarity index 100% rename from 10_crypto-symmetric/pic/win-02.png rename to 07_crypto-symmetric/pic/win-02.png diff --git a/10_crypto-symmetric/pic/win-03.png b/07_crypto-symmetric/pic/win-03.png similarity index 100% rename from 10_crypto-symmetric/pic/win-03.png rename to 07_crypto-symmetric/pic/win-03.png diff --git a/10_crypto-symmetric/pic/win-04.png b/07_crypto-symmetric/pic/win-04.png similarity index 100% rename from 10_crypto-symmetric/pic/win-04.png rename to 07_crypto-symmetric/pic/win-04.png diff --git a/10_crypto-symmetric/pic/win-05.png b/07_crypto-symmetric/pic/win-05.png similarity index 100% rename from 10_crypto-symmetric/pic/win-05.png rename to 07_crypto-symmetric/pic/win-05.png diff --git a/10_crypto-symmetric/pic/win-06.png b/07_crypto-symmetric/pic/win-06.png similarity index 100% rename from 10_crypto-symmetric/pic/win-06.png rename to 07_crypto-symmetric/pic/win-06.png diff --git a/10_crypto-symmetric/pic/win-07.png b/07_crypto-symmetric/pic/win-07.png similarity index 100% rename from 10_crypto-symmetric/pic/win-07.png rename to 07_crypto-symmetric/pic/win-07.png diff --git a/10_crypto-symmetric/pic/win-08.png b/07_crypto-symmetric/pic/win-08.png similarity index 100% rename from 10_crypto-symmetric/pic/win-08.png rename to 07_crypto-symmetric/pic/win-08.png diff --git a/10_crypto-symmetric/pic/win-09.png b/07_crypto-symmetric/pic/win-09.png similarity index 100% rename from 10_crypto-symmetric/pic/win-09.png rename to 07_crypto-symmetric/pic/win-09.png diff --git a/10_crypto-symmetric/pic/win-10.1.png b/07_crypto-symmetric/pic/win-10.1.png similarity index 100% rename from 10_crypto-symmetric/pic/win-10.1.png rename to 07_crypto-symmetric/pic/win-10.1.png diff --git a/10_crypto-symmetric/pic/win-10.png b/07_crypto-symmetric/pic/win-10.png similarity index 100% rename from 10_crypto-symmetric/pic/win-10.png rename to 07_crypto-symmetric/pic/win-10.png diff --git a/10_crypto-symmetric/pic/win-11.png b/07_crypto-symmetric/pic/win-11.png similarity index 100% rename from 10_crypto-symmetric/pic/win-11.png rename to 07_crypto-symmetric/pic/win-11.png diff --git a/10_crypto-symmetric/pic/win-12.png b/07_crypto-symmetric/pic/win-12.png similarity index 100% rename from 10_crypto-symmetric/pic/win-12.png rename to 07_crypto-symmetric/pic/win-12.png diff --git a/10_crypto-symmetric/pic/win-13.png b/07_crypto-symmetric/pic/win-13.png similarity index 100% rename from 10_crypto-symmetric/pic/win-13.png rename to 07_crypto-symmetric/pic/win-13.png diff --git a/10_crypto-symmetric/pic/win-14.png b/07_crypto-symmetric/pic/win-14.png similarity index 100% rename from 10_crypto-symmetric/pic/win-14.png rename to 07_crypto-symmetric/pic/win-14.png diff --git a/10_crypto-symmetric/pic/win-15.png b/07_crypto-symmetric/pic/win-15.png similarity index 100% rename from 10_crypto-symmetric/pic/win-15.png rename to 07_crypto-symmetric/pic/win-15.png diff --git a/10_crypto-symmetric/pic/win-16.png b/07_crypto-symmetric/pic/win-16.png similarity index 100% rename from 10_crypto-symmetric/pic/win-16.png rename to 07_crypto-symmetric/pic/win-16.png diff --git a/10_crypto-symmetric/pic/win-17.png b/07_crypto-symmetric/pic/win-17.png similarity index 100% rename from 10_crypto-symmetric/pic/win-17.png rename to 07_crypto-symmetric/pic/win-17.png diff --git a/10_crypto-symmetric/pic/win-install-01.png b/07_crypto-symmetric/pic/win-install-01.png similarity index 100% rename from 10_crypto-symmetric/pic/win-install-01.png rename to 07_crypto-symmetric/pic/win-install-01.png diff --git a/07_organization/README.md b/07_organization/README.md deleted file mode 100644 index 02d7ed3..0000000 --- a/07_organization/README.md +++ /dev/null @@ -1,45 +0,0 @@ -# Домашнее задание к занятию «Организация защиты информации (часть 2)» - -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). - -В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). - -Обратите внимание: -* там, где требуется указать понятие, необходимо привести это понятие целиком -* там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. - -Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. - -Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. - -## Базовая модель угроз безопасности ПДн - -Наверняка многие из вас задают вопрос "Почему мы только рассматриваем модель угроз, но не разрабатываем её?". Ответ достаточно прост: наших технических знаний пока не достаточно, для того, чтобы разработать её на приемлемом уровне. Собственно, получению технический знаний и навыков и будет посвящена оставшаяся часть нашей профессии. - -Тот документ, что мы рассматривали на лекции, пока находится в стадии проекта. Это значит, что он официально ещё не принят (хотя мы все этого ожидаем). - -Поэтому в качестве ДЗ мы с вами рассмотрим уже принятый документ 2008 года ["Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных"](https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/379-bazovaya-model-ugroz-bezopasnosti-personalnykh-dannykh-pri-ikh-obrabotke-v-informatsionnykh-sistemakh-personalnykh-dannykh-vypiska-fstek-rossii-2008-god), а именно выписку из этого документа. Как вы понимаете, с 2008 года многое изменилось, но документ по-прежнему действует. - -На базе Базовой модели разрабатываются Частные модели (применимые к конкретной ИС). - -Вам нужно внимательно изучить первые 30 страниц (остальные можете просто пролистать - нам пока недостаёт технических знаний для их обсуждения) и ответить на следующие вопросы: -1. Что является основными элементами канала реализации угроз безопасности ПДн? -1. Возникновение каких угроз безопасности ПДн возможно за счёт реализации ТКУИ? -1. Что может являться источниками угроз НСД в ИСПДн? -1. На какие два типа подразделяются нарушители исходя из наличия права постоянного или разового доступа в КЗ? -1. На сколько категорий подразделяются внутренние потенциальные нарушители? Перечислите эти категории. -1. Что является причиной возникновения уязвимостей ИСПДн? - -Примечание*: обратите внимание, что в рамках документа выделяются: -* акустическая (речевая) информация -* видовая информация -* информация, в виде электрических, электромагнитных или оптических сигналов -* информация, представленная в виде бит, байт, файлов и других логических структур - -## Дополнительное чтение - -Для полноты картины мы настоятельно рекомендуем вам ознакомиться с [Методическими рекомендациями Минздрава](https://minzdrav.gov.ru/documents/7570-rekomendatsii-ot-24-dekabrya-2009-). Понятно, что они действуют для организаций, находящихся в сфере компетенции Минздрава, но будут полезны для общего кругозора. - -Осторожно! Документы достаточно большие, поэтому будьте готовы. - -Кроме того, можете ознакомиться с [Банком данных угроз безопасности информации ФСТЭК](https://bdu.fstec.ru/threat). Опять-таки, наших технических знаний ещё недостаёт для полноценного его использования, но посмотреть ради общей картины стоит. diff --git a/08_certification/README.md b/08_certification/README.md deleted file mode 100644 index 173cea8..0000000 --- a/08_certification/README.md +++ /dev/null @@ -1,58 +0,0 @@ -# Домашнее задание к занятию «Средства защиты информации и их сертификация» - -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). - -В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). - -Обратите внимание: -* там, где требуется указать понятие, необходимо привести это понятие целиком -* там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. - -Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. - -Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. - -## Задача №1 Сертификация - -1. Что такое сертификация? Укажите нормативный документ, в котором дано определение этого термина и сам термин (подсказка: возможно, вам придётся вернуться к одной из предыдущих лекций, чтобы ответить на этот вопрос). -1. Какие три ключевые системы сертификации существуют и в каком документе об этом сказано? -1. Сколько уровней доверия существует? -1. Профили защиты на какие СЗИ уже существуют и опубликованы на сайте ФСТЭК? - -## Задача №2 Меры безопасности - -Как мы уже говорили, разработка модели угроз - не та задача, которую можно выполнить за пару часов. Это первое. Второе - чтобы уметь грамотно её разрабатывать, нужно иметь достаточно хороший опыт и кругозор. - -А опыт и кругозор появляются либо за счёт личного участия в проектах (и набивания своих "шишек"), либо ознакомления с тем, "как делают другие". - -Соответственно, этим (ознакомления с тем, "как делают другие") мы сейчас и займёмся. - -Мы предлагаем вам для разбора два видео, о том, как устроена система безопасности в дата-центрах Google (смотрите их именно в этом порядке): -1. 18.06.2020 - https://www.youtube.com/watch?v=kd33UVZhnAA (длительность - 06:09) -1. 18.09.2013 - https://www.youtube.com/watch?v=cLory3qLoY8 (длительность - 07:00) - -Нам нужны ответы от вас на следующие вопросы: -1. Сколько уровней безопасности предусмотрено? -1. Как вы думаете, зачем и исходя из чего выполнено разбиение на эти уровни? -1. Опишите, какие меры безопасности предпринимаются и предположите для каких сценариев (это должно быть явно видно из принимаемых мер) - -Обратите внимание, если у вас недостаточно хороший уровень английского языка, вы можете включить авто-перевод субтитров. - -Для этого нужно нажать на кнопку включения субтитров: - -![](pic/subtitles.png) - -После чего перейти в меню настройки и снова выбрать субтитры: - -![](pic/settings-subtitles.png) - -Выбрать перевести: - -![](pic/translation.png) - -Выбрать русский язык: - -![](pic/russian.png) - -Обратите внимание, что перевод не всегда корректный, но большая часть должна быть понятна из контекста. - diff --git a/12_crypto_regulation/README.md b/08_crypto_assymetric/README.md similarity index 61% rename from 12_crypto_regulation/README.md rename to 08_crypto_assymetric/README.md index e3807d4..c36fd1e 100644 --- a/12_crypto_regulation/README.md +++ b/08_crypto_assymetric/README.md @@ -1,32 +1,192 @@ -# Домашнее задание к занятию «Криптография: нормативное регулирование» +# Домашнее задание к занятию «3.2. Ассиметричные криптосистемы» В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). -В каждом задании сформулирован один (или несколько вопросов), и вам нужно найти ответы в соответствующем нормативно-правовом акте (далее – НПА). +## Общие замечания по безопасности -Обратите внимание: -* там, где требуется указать понятие, необходимо привести это понятие целиком -* там, где необходимо описать иное (например, ответить на вопрос "в течение какого времени", "какая ответственность" и т.д.) достаточно ответа собственными словами (как вы поняли) и указания номера статьи и пункта. +При скачивании любых файлов перед их открытием рекомендуем вам проверять их с помощью сервиса [VirusTotal](https://www.virustotal.com/gui/home/upload). -Обратите внимание, что справочная система КонсультантПлюс в бесплатной редакции не даёт копировать текст документа. +## Общие замечания по выполнению ДЗ -Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. +Если у вас что-то не получилось, то пишите в разделе "Вопросы по заданию" в личном кабинете: +1. ОС +1. На каком шаге остановились +1. Скриншот ошибки (если есть возможность) +1. Краткое описание того, что сделали -## Задача №1 +Пожалуйста, не пишите сообщения в стиле `я всё сделал по инструкции, ничего не работает` - это никоим образом не поможет решить проблему. -Вопросы: -1. Что такое электронная подпись (далее - ЭП)? -1. Какие виды ЭП существуют? Есть ли внутри видов дополнительное разделение (если да, то какое)? -1. Изучите [ответы Минцифры на вопросы по Электронным услугам для бизнеса и граждан](https://digital.gov.ru/ru/appeals/#section-elektronnyie-uslugi-dlya-grazhdan-i-biznesa) и ответьте на следующий вопрос: может ли (если да, то в каких случаях и каким видом ЭП) адрес отправителя Email считаться ЭП? -1. Какой орган является органом исполнительной власти, уполномоченным в сфере использования ЭП? +## Работа в терминале -Ответ для каждого пункта предоставляйте в формате: +Ознакомьтесь с [руководством по работе в терминале](../terminal) для вашей операционной системы. +## Задача LibreSSL & OpenSSL + +### Справка + +[OpenSSL](https://www.openssl.org/) - Open Source криптографическая библиотека. + +[LibreSSL](https://www.libressl.org/) - форк (ответвление) от библиотеки OpenSSL, развиваемое в рамках проекта OpenBSD. + +### Установка + +#### Windows + +Пользователем Windows мы предлагаем воспользоваться возможностями проекта [Cygwin](https://www.cygwin.com), который предоставляет набор инструментов из мира Linux для ОС Windows. + +- Если файл Cygwin не скачивается с сайта, то можете попробовать его скачать [здесь](https://disk.360.yandex.ru/d/zJi0tXbIbz8gsg) + +
+Инструкция по установке + +##### Шаг 0. Перейдите на главную страницу и скачайте установочный файл: + +![](pic/openssl-cygwin-00.png) + +##### Шаг 1. После чего запустите его на установку и нажмите на кнопку Далее: + +![](pic/openssl-cygwin-01.png) + +##### Шаг 2. Оставьте значение по умолчанию (Install from Internet) и нажмите на кнопку Далее: + +![](pic/openssl-cygwin-02.png) + +##### Шаг 3. Оставьте значения по умолчанию и нажмите на кнопку Далее: + +![](pic/openssl-cygwin-03.png) + +##### Шаг 4. Оставьте значения по умолчанию и нажмите на кнопку Далее: + +![](pic/openssl-cygwin-04.png) + +##### Шаг 5. Оставьте значения по умолчанию и нажмите на кнопку Далее: + +![](pic/openssl-cygwin-05.png) + +##### Шаг 6. Выберите любой сервер из списка и нажмите на кнопку Далее: + +![](pic/openssl-cygwin-06.png) + +##### Шаг 7. Оставьте значения по умолчанию и нажмите на кнопку Далее: + +![](pic/openssl-cygwin-07.png) + +##### Шаг 8. Оставьте значения по умолчанию и нажмите на кнопку Готово: + +![](pic/openssl-cygwin-08.png) + +##### Шаг 9. Откройте Cygwin Terminal через иконку на Рабочем Столе: + +![](pic/openssl-cygwin-09.png) + +##### Шаг 10. Введите команду `openssl version` (можете продолжать работу): + +![](pic/openssl-cygwin-10.png) + +По умолчанию вы будете находиться в каталоге `C:/cygwin64/home/<Имя вашего пользователя>`. + +
+ +#### Linux + +Для пользователей Linux (Ubuntu) необходимо выполнить в терминале команду: `openssl version`. Если в результате вы видите вывод вроде `OpenSSL 1.1.1f 31 Mar 2020` (версия и дата могут отличаться) а не `Command 'openssl' not found`, тогда вам не нужно ничего устанавливать. + +Если же вы получили сообщение о том, что команда `openssl` не найдена, выполните следующую команду: `sudo apt-get install openssl`. + +#### Mac OS + +Для пользователей Mac необходимо выполнить в терминале команду: `openssl version`. Если в результате вы видите вывод вроде `LibreSSL 2.8.3` (версия может отличаться) а не `Command 'openssl' not found`, тогда вам не нужно ничего устанавливать. + +Если же вы получили сообщение о том, что команда `openssl` не найдена, выполните следующую команду: `brew install openssl`. + +### Инструкция + +Запустите терминал и начнём знакомиться с OpenSSL (LibreSSL): + +1\. Справка по основным командам OpenSSL + +```shell script +openssl help +``` + +2\. Справка по конкретной команде: + +```shell script +openssl help genrsa +``` + +Более детальную справку вы можете найти по адресу: https://www.openssl.org/docs/manmaster/man1/ + +### Задача + +В этой задаче мы научимся шифровать данные с помощью публичного ключа и расшифровывать с помощью приватного. + +Первое, с чего мы должны начать - это сгенерировать ключ. Для этого нужно выбрать алгоритм, размер ключа и passphrase (кодовую фразу). + +#### Шаг 1. Создайте закрытый ключ с длиной 2048: + +```shell script +openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -aes256 -out private.key +``` + +Где [`genpkey`](https://www.openssl.org/docs/manmaster/man1/openssl-genpkey.html) - подкоманда, отвечающая за генерацию ключей. + +Введите кодовую фразу два раза (обратите внимание, символы не будут отображаться в целях безопасности). + +Откройте файл `private.key` в любом текстовом редакторе (можете просмотреть в терминале с помощью команды `cat private.key`), удостоверьтесь, что он выглядит примерно так: + +```text +-----BEGIN ENCRYPTED PRIVATE KEY----- +... +МНОГО БУКВ +... +-----END ENCRYPTED PRIVATE KEY----- +``` + +#### Шаг 2. Сгенерируйте открытый ключ на базе закрытого: + +```shell script +openssl pkey -pubout -in private.key -out public.key +``` + +Где [`pkey`](https://www.openssl.org/docs/man1.0.2/man1/pkey.html) - подкоманда, отвечающая за обработку ключей. + +Откройте файл `public.key` (можете просмотреть в терминале с помощью команды `cat public.key`) в любом текстовом редакторе, удостоверьтесь, что он выглядит примерно так: + +```text +-----BEGIN PUBLIC KEY----- +... +МНОГО БУКВ +... +-----END PUBLIC KEY----- +``` + +#### Шаг 3. Создайте файл message.txt со своей фамилией + +#### Шаг 4. Зашифруйте сообщение с помощью публичного ключа: + +```shell script +openssl pkeyutl -encrypt -pubin -inkey public.key -in message.txt -out cypher.txt ``` -На основании документа <название документа> <ваш ответ>. + +Где [`pkeyutl`](https://www.openssl.org/docs/manmaster/man1/openssl-pkeyutl.html) - подкоманда, отвечающая за низкоуровневые операции с публичными ключами (включая шифрование и расшифрование). + +Откройте файл `cypher.txt` в любом текстовом редакторе, удостоверьтесь, что он не читабелен. + +#### Шаг 5. Убедитесь, что файл `cyper.txt` расшифровывается: + +```shell script +openssl pkeyutl -decrypt -inkey private.key -in cypher.txt -out decrypted.txt ``` -## Задача №2 GnuPG: подпись сообщения +### Результат + +В качестве результата пришлите: +1. Публичный и приватный ключ (`public.key` и `private.key`) +1. Passphrase (строкой) +1. Зашифрованный файл (`cypher.txt`) + +## Задача GnuPG: подпись сообщения В этом ДЗ мы научимся подписывать и проверять подпись документов с помощью [GnuPG](https://gnupg.org) - популярной реализации [OpenPGP](https://www.ietf.org/rfc/rfc4880.txt). В частности, она используется в большом количестве Open Source проектов для подписи пакетов с ПО. @@ -45,47 +205,47 @@ ##### Шаг 0. Перейдите на главную страницу и скачайте установочный файл (либо запустите уже скачанный): -![](pic/cygwin-00.png) +![](pic/gpg-cygwin-00.png) ##### Шаг 1. После чего запустите его на установку и нажмите на кнопку Далее: -![](pic/cygwin-01.png) +![](pic/gpg-cygwin-01.png) ##### Шаг 2. Оставьте значение по умолчанию (Install from Internet) и нажмите на кнопку Далее: -![](pic/cygwin-02.png) +![](pic/gpg-cygwin-02.png) ##### Шаг 3. Оставьте значения по умолчанию и нажмите на кнопку Далее (выберите тот же каталог, что и в ДЗ к предыдущей лекции): -![](pic/cygwin-03.png) +![](pic/gpg-cygwin-03.png) ##### Шаг 4. Оставьте значения по умолчанию и нажмите на кнопку Далее (выберите тот же каталог, что и в ДЗ к предыдущей лекции): -![](pic/cygwin-04.png) +![](pic/gpg-cygwin-04.png) ##### Шаг 5. Оставьте значения по умолчанию и нажмите на кнопку Далее: -![](pic/cygwin-05.png) +![](pic/gpg-cygwin-05.png) ##### Шаг 6. Выберите любой сервер из списка и нажмите на кнопку Далее: -![](pic/cygwin-06.png) +![](pic/gpg-cygwin-06.png) ##### Шаг 7. Для View выберите Full (1), в поле поиска введите gnupg2 (2) и в столбце New выберите самую последнюю версию вместо значения Skip (3) и нажмите на кнопку Далее: -![](pic/cygwin-07.png) +![](pic/gpg-cygwin-07.png) ##### Шаг 8. Подтвердите изменения, нажав на кнопку Далее: -![](pic/cygwin-08.png) +![](pic/gpg-cygwin-08.png) ##### Шаг 9. Откройте Cygwin Terminal через иконку на Рабочем Столе: -![](pic/cygwin-09.png) +![](pic/gpg-cygwin-09.png) ##### Шаг 10. Введите команду `gpg2 --version` (можете продолжать работу): -![](pic/cygwin-10.png) +![](pic/gpg-cygwin-10.png) По умолчанию вы будете находиться в каталоге `C:/cygwin64/home/<Имя вашего пользователя>`. @@ -219,7 +379,9 @@ gpg --output public.gpg --armor --export coursar@localhost 1. Публичный ключ (с шага 5) 1. Файл сообщения и подпись к нему (с шага 3) -## Задача №3 GnuPG: decrypt +## Задача GnuPG: decrypt* + +**Важно**: это не обязательная задача. Её (не)выполнение не влияет на получение зачёта по ДЗ. В этом ДЗ мы научимся расшифровывать и проверять подпись сообщений, зашифрованных с помощью GnuPG. @@ -275,7 +437,7 @@ Passphrase: `student`.
Неправильная passphrase 😈? -Такое бывает. Достаточно часто для "стойкости" пароли набирают на другой раскладке. Попробуйте `student` в русской раскладке. +Такое бывает. Достаточно часто для "стойкости" пароли набирают на другой раскладке (или просто забывают переключить раскладку). Попробуйте `student` в русской раскладке. Если уж совсем не получилось, то держите скрипт, который всё сделает за вас: @@ -308,8 +470,8 @@ gpg --decrypt message.enc ### Результат В качестве результата пришлите: -1. Содержимое зашифрованного сообщения -1. Результат проверки подписи +1. Содержимое зашифрованного сообщения (текст) +1. Результат проверки подписи (валидна или нет) ## Распространение дистрибутивов* diff --git a/12_crypto_regulation/assets/message.enc b/08_crypto_assymetric/assets/message.enc similarity index 100% rename from 12_crypto_regulation/assets/message.enc rename to 08_crypto_assymetric/assets/message.enc diff --git a/12_crypto_regulation/assets/netology.gpg b/08_crypto_assymetric/assets/netology.gpg similarity index 100% rename from 12_crypto_regulation/assets/netology.gpg rename to 08_crypto_assymetric/assets/netology.gpg diff --git a/12_crypto_regulation/assets/student.key b/08_crypto_assymetric/assets/student.key similarity index 100% rename from 12_crypto_regulation/assets/student.key rename to 08_crypto_assymetric/assets/student.key diff --git a/12_crypto_regulation/pic/gnupg.png b/08_crypto_assymetric/pic/gnupg.png similarity index 100% rename from 12_crypto_regulation/pic/gnupg.png rename to 08_crypto_assymetric/pic/gnupg.png diff --git a/11_crypto_assymetric/pic/cygwin-00.png b/08_crypto_assymetric/pic/gpg-cygwin-00.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-00.png rename to 08_crypto_assymetric/pic/gpg-cygwin-00.png diff --git a/11_crypto_assymetric/pic/cygwin-01.png b/08_crypto_assymetric/pic/gpg-cygwin-01.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-01.png rename to 08_crypto_assymetric/pic/gpg-cygwin-01.png diff --git a/11_crypto_assymetric/pic/cygwin-02.png b/08_crypto_assymetric/pic/gpg-cygwin-02.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-02.png rename to 08_crypto_assymetric/pic/gpg-cygwin-02.png diff --git a/11_crypto_assymetric/pic/cygwin-03.png b/08_crypto_assymetric/pic/gpg-cygwin-03.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-03.png rename to 08_crypto_assymetric/pic/gpg-cygwin-03.png diff --git a/11_crypto_assymetric/pic/cygwin-04.png b/08_crypto_assymetric/pic/gpg-cygwin-04.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-04.png rename to 08_crypto_assymetric/pic/gpg-cygwin-04.png diff --git a/11_crypto_assymetric/pic/cygwin-05.png b/08_crypto_assymetric/pic/gpg-cygwin-05.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-05.png rename to 08_crypto_assymetric/pic/gpg-cygwin-05.png diff --git a/11_crypto_assymetric/pic/cygwin-06.png b/08_crypto_assymetric/pic/gpg-cygwin-06.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-06.png rename to 08_crypto_assymetric/pic/gpg-cygwin-06.png diff --git a/12_crypto_regulation/pic/cygwin-07.png b/08_crypto_assymetric/pic/gpg-cygwin-07.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-07.png rename to 08_crypto_assymetric/pic/gpg-cygwin-07.png diff --git a/12_crypto_regulation/pic/cygwin-08.png b/08_crypto_assymetric/pic/gpg-cygwin-08.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-08.png rename to 08_crypto_assymetric/pic/gpg-cygwin-08.png diff --git a/11_crypto_assymetric/pic/cygwin-09.png b/08_crypto_assymetric/pic/gpg-cygwin-09.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-09.png rename to 08_crypto_assymetric/pic/gpg-cygwin-09.png diff --git a/12_crypto_regulation/pic/cygwin-10.png b/08_crypto_assymetric/pic/gpg-cygwin-10.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-10.png rename to 08_crypto_assymetric/pic/gpg-cygwin-10.png diff --git a/12_crypto_regulation/pic/gpg-generate-keys.png b/08_crypto_assymetric/pic/gpg-generate-keys.png similarity index 100% rename from 12_crypto_regulation/pic/gpg-generate-keys.png rename to 08_crypto_assymetric/pic/gpg-generate-keys.png diff --git a/12_crypto_regulation/pic/gpg-list-keys.png b/08_crypto_assymetric/pic/gpg-list-keys.png similarity index 100% rename from 12_crypto_regulation/pic/gpg-list-keys.png rename to 08_crypto_assymetric/pic/gpg-list-keys.png diff --git a/12_crypto_regulation/pic/gpg-sign-and-verify.png b/08_crypto_assymetric/pic/gpg-sign-and-verify.png similarity index 100% rename from 12_crypto_regulation/pic/gpg-sign-and-verify.png rename to 08_crypto_assymetric/pic/gpg-sign-and-verify.png diff --git a/12_crypto_regulation/pic/gpg-verify.png b/08_crypto_assymetric/pic/gpg-verify.png similarity index 100% rename from 12_crypto_regulation/pic/gpg-verify.png rename to 08_crypto_assymetric/pic/gpg-verify.png diff --git a/12_crypto_regulation/pic/cygwin-00.png b/08_crypto_assymetric/pic/openssl-cygwin-00.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-00.png rename to 08_crypto_assymetric/pic/openssl-cygwin-00.png diff --git a/12_crypto_regulation/pic/cygwin-01.png b/08_crypto_assymetric/pic/openssl-cygwin-01.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-01.png rename to 08_crypto_assymetric/pic/openssl-cygwin-01.png diff --git a/12_crypto_regulation/pic/cygwin-02.png b/08_crypto_assymetric/pic/openssl-cygwin-02.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-02.png rename to 08_crypto_assymetric/pic/openssl-cygwin-02.png diff --git a/12_crypto_regulation/pic/cygwin-03.png b/08_crypto_assymetric/pic/openssl-cygwin-03.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-03.png rename to 08_crypto_assymetric/pic/openssl-cygwin-03.png diff --git a/12_crypto_regulation/pic/cygwin-04.png b/08_crypto_assymetric/pic/openssl-cygwin-04.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-04.png rename to 08_crypto_assymetric/pic/openssl-cygwin-04.png diff --git a/12_crypto_regulation/pic/cygwin-05.png b/08_crypto_assymetric/pic/openssl-cygwin-05.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-05.png rename to 08_crypto_assymetric/pic/openssl-cygwin-05.png diff --git a/12_crypto_regulation/pic/cygwin-06.png b/08_crypto_assymetric/pic/openssl-cygwin-06.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-06.png rename to 08_crypto_assymetric/pic/openssl-cygwin-06.png diff --git a/11_crypto_assymetric/pic/cygwin-07.png b/08_crypto_assymetric/pic/openssl-cygwin-07.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-07.png rename to 08_crypto_assymetric/pic/openssl-cygwin-07.png diff --git a/11_crypto_assymetric/pic/cygwin-08.png b/08_crypto_assymetric/pic/openssl-cygwin-08.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-08.png rename to 08_crypto_assymetric/pic/openssl-cygwin-08.png diff --git a/12_crypto_regulation/pic/cygwin-09.png b/08_crypto_assymetric/pic/openssl-cygwin-09.png similarity index 100% rename from 12_crypto_regulation/pic/cygwin-09.png rename to 08_crypto_assymetric/pic/openssl-cygwin-09.png diff --git a/11_crypto_assymetric/pic/cygwin-10.png b/08_crypto_assymetric/pic/openssl-cygwin-10.png similarity index 100% rename from 11_crypto_assymetric/pic/cygwin-10.png rename to 08_crypto_assymetric/pic/openssl-cygwin-10.png diff --git a/09_crypto-basics/README.md b/09_crypto-basics/README.md deleted file mode 100644 index 7454da9..0000000 --- a/09_crypto-basics/README.md +++ /dev/null @@ -1,78 +0,0 @@ -# Домашнее задание к занятию «Теоретические основы криптографии» - -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). - -## Задача №1 Шифр ADFGVX - -### Справка -Данный шифр является продолжением (расширением) шифра ADFGX с похожим способом применения. Активно использовался во время Первой мировой войны. - -### Инструкция - -Шифр предполагает 2 этапа: сначала замена, затем перестановка. - -#### 1 Этап. Замена: - -Создается таблица шифрозамен в духе Полибианского квадрата, но не в алфавитном порядке, например: - -![](pic/1.1.png) - -Сообщение «ЧУПРОВ» записывается набором шифрозамен по координатам таблицы: «XA DD GF AD FX AX». - -#### 2 Этап. Перестановка: - -Полученный набор шифрозамен записывается построчно сверху-вниз в таблицу, количество столбцов которой определяется по ключевому слову. Нумерация столбцов соответстветствует положению букв ключевого слова в алфавите. Например, для ключевого слова «ОСНОВЫ» таблица будет выглядеть следующим образом: - -![](pic/1.2.png) - -Выписывание шифра происходит по столбцам в соответствии с их нумерацией, а буквы объединяются в пятибуквенные блоки. Для нашего примера итоговый шифр: GADFX ADXAD FX. - -### Задача - -Зашифруйте свою фамилию, используя оригинальные (выдумайте сами) ключи и таблицы замены и перестановки. - -При оформлении ответа приведите: -1. Исходное сообщение (фамилию) -1. Таблицы замены и перестановки -1. Ключ -1. Зашифрованное сообщение - -## Задача №2 Шифр Вернама (сложение по модулю 2) - -### Справка - -Шифр Вернама был создан в 1917 году для шифрования телеграфных сообщений. Использовался после Первой мировой войны, во время Второй мировой войны, а также после войны - для секретного общения между правительствами США и России. В основе шифра Вернама лежит операция “сложение по модулю 2” (XOR, логическое ИЛИ) над 0 и 1. - -### Инструкция - -Таблица истинности для XOR приведена в таблице 1 - -Таблица 1. Таблица истинности для XOR -![](pic/xor.png) - -Для шифрования необходимо использовать двоичную систему. Таблица соответствия символов (букв алфавита) и двочиных кодов приведена [по ссылке](https://tehtab.ru/Guide/GuideMathematics/GuideMathematicsNumericalSystems/TableCodeEquivalent/) - -Примечание: Когда ключ равен длине сообщения, он называется гамма. - -### Пример - -Пример шифрования сообщения “ВАНЯ” с помощью ключа “ТОК” показан в таблице 2. Так как ключ “ТОК” меньше длины сообщения, для формирования гаммы он циклически повторяется. - -Таблица 2. Шифрование по модулю 2 - -![](pic/2.1.png) - -Данное шифрование обладает отличным свойством - можно направить злоумышленника по ошибочному следу, сообщив ему ложную гамму, которая даст смысловое сообщение при попытке расшифровки. - -![](pic/2.2.png) - -### Задача - -Зашифруйте свою фамилию, а также создайте смысловое ложное сообщение, используя оригинальные (выдумайте сами) гамму и ложную гамму. - -При оформлении ответа приведите: -1. Исходное сообщение (фамилию) -2. Гамму -3. Таблицу шифрования -4. Ложную гамму -5. Таблицу ложной расшифровки diff --git a/09_crypto-basics/pic/1.1.png b/09_crypto-basics/pic/1.1.png deleted file mode 100644 index 6615f27..0000000 Binary files a/09_crypto-basics/pic/1.1.png and /dev/null differ diff --git a/09_crypto-basics/pic/1.2.png b/09_crypto-basics/pic/1.2.png deleted file mode 100644 index 42b33d9..0000000 Binary files a/09_crypto-basics/pic/1.2.png and /dev/null differ diff --git a/09_crypto-basics/pic/2.1.png b/09_crypto-basics/pic/2.1.png deleted file mode 100644 index 314cfbc..0000000 Binary files a/09_crypto-basics/pic/2.1.png and /dev/null differ diff --git a/09_crypto-basics/pic/2.2.png b/09_crypto-basics/pic/2.2.png deleted file mode 100644 index 163276f..0000000 Binary files a/09_crypto-basics/pic/2.2.png and /dev/null differ diff --git a/09_crypto-basics/pic/xor.png b/09_crypto-basics/pic/xor.png deleted file mode 100644 index f9d6ecd..0000000 Binary files a/09_crypto-basics/pic/xor.png and /dev/null differ diff --git a/13_financial/README.md b/09_financial/README.md similarity index 77% rename from 13_financial/README.md rename to 09_financial/README.md index ff04a77..b960fd1 100644 --- a/13_financial/README.md +++ b/09_financial/README.md @@ -1,4 +1,4 @@ -# Домашнее задание к занятию «Финансовые системы» +# Домашнее задание к занятию «4.1. Финансовые системы» В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). @@ -12,7 +12,7 @@ Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. -## Задача №1. ГОСТ Р 57580 +## Задача №1 - ГОСТ Р 57580 Вам необходимо изучить ГОСТ Р 57580. Документ состоит из двух частей: 1. ГОСТ Р 57580.1-2017 @@ -29,9 +29,9 @@ 1. Сколько уровней ЗИ определяет стандарт? Перечислите их. 1. Какой из всех возможных объектов атак нарушитель выберет с наибольшей вероятностью (с точки зрения авторов стандарта)? 1. Для оценки полноты реализации процессов системы ЗИ используют качественную модель оценивания. Приведите уровни соответствия с их описанием, указанные в данной модели? -1. Что рекомендуется использовать в качестве основных источников источников свидетельств для оценки соответствия ЗИ? +1. Что рекомендуется использовать в качестве основных источников свидетельств для оценки соответствия ЗИ? -## Задача №2. Тинькофф Мобильный SDK +## Задача №2 - Тинькофф Мобильный SDK Банк Тинькофф предлагает [Мобильный SDK](https://oplata.tinkoff.ru/develop/sdk/) для встраивания в мобильные приложения возможностей оплаты с карт. @@ -51,7 +51,7 @@ openssl dgst -md5 file.txt Где `file.txt` - это файл, внутри которого хранятся данные, для которых нужно рассчитать хэш. -Конечно же, это не всегда удобно (плюс некоторые редакторы добавляют в файл перенос строки и увас получается неверный хеш). +Конечно же, это не всегда удобно (плюс некоторые редакторы добавляют в файл перенос строки и у вас получается неверный хеш). Современные командные оболочки предлагают нам синтаксис, позволяющий направить на вход одному приложению (аналог ввода "руками") данные из вывода другого приложения. Это так называемый pipe (труба). @@ -89,6 +89,8 @@ Base64 - это кодировка, используемая для кодиро В качестве пароля (password) используйте строку `TopSecret`. +При пересылке любых данных важно удостовериться, что они не изменились. Для этого вместе с данными пересылается специальный токен - это хэш-функция от строки, получаемой из исходных данных. Способ получения подобного токена описан в [документации Тинькофф](https://www.tinkoff.ru/kassa/develop/sdk/). Теперь попробуем сформировать токен. +
Подсказка @@ -96,10 +98,10 @@ Base64 - это кодировка, используемая для кодиро Но, если не нашли, то в [Android](assets/android.pdf) на 36-ой странице, в [iOS](assets/ios.pdf) на 61. -Отдельно есть [пошаговая инструкция](https://oplata.tinkoff.ru/develop/api/request-sign/). +Есть инструкции: [Первая](https://web.archive.org/web/20220516235607/https://oplata.tinkoff.ru/develop/api/request-sign/), [Вторая](https://www.tinkoff.ru/kassa/dev/payments/#section/Podpis-zaprosa)
-В качестве результата пришлите Token для указанного документа. +В качестве результата пришлите токен для указанного документа. #### Шифрование карточных данных @@ -124,13 +126,28 @@ Base64 - это кодировка, используемая для кодиро Мы, по традиции, предоставляем вам [публичный](assets/public.key) и [приватный](assets/private.key) ключи (вы сами должны разобраться, что и когда используется). Что нужно: -1. Зашифровать указанные данные в соответствии с алгоритмом, указанным в документации (не забудьте проверить, что они нормально расшифровываются после вашего шифрования) -1. Прислать перечень команд, использованных вами для шифрования и расширования +1\. Зашифровать указанные данные в соответствии с алгоритмом, указанным в документации (не забудьте проверить, что они нормально расшифровываются после вашего шифрования) + +
+Подсказка + +Используйте команды `openssl` из ДЗ по ассиметричным криптосистемам. + +Обратите внимание, что шифротекст в нашем случае каждый раз будет разным (если вдруг вы решите посчитать контрольную сумму от зашифрованного файла). +
+ +2\. Прислать перечень команд, использованных вами для шифрования и расширования + +## Дополнительное чтение про утечку приватных ключей -P.S.: ещё раз возвращаясь к теме утечки приватных ключей: есть специальный веб-сервис [GitGuardian](https://www.gitguardian.com), который как раз анализирует репозитории с кодом на наличие публикации ключей и присылает владельцам репозиториев Alert'ы: +
+Читать + +Ещё раз возвращаясь к теме утечки приватных ключей: есть специальный веб-сервис [GitGuardian](https://www.gitguardian.com), который как раз анализирует репозитории с кодом на наличие публикации ключей и присылает владельцам репозиториев Alert'ы: ![](pic/alert.png) Рекомендуем вам ознакомиться [со статьёй в их блоге](https://blog.gitguardian.com/leaking-secrets-on-github-what-to-do/), которая описывает уже меры реагирования на подобные инциденты и предлагает сервис, в реальном времени анализирующий каждый "коммит" (фиксацию изменений в коде) на наличие "секретов". -Это достаточно важная тема (мы, конечно, забегаем немного вперёд - детально это будет обсуждаться в блоке по разработке), особенно если вы будете работать в компаниях, в которых разрабатывается ПО (а сейчас практически любая компания от магазина до банка занимается разработкой/доработкой ПО для себя). +Это достаточно важная тема (мы, конечно, забегаем немного вперёд - детально это будет обсуждаться в блоке по разработке), особенно если вы будете работать в компаниях, в которых разрабатывается ПО (а сейчас практически любая компания от магазина до банка занимается разработкой/доработкой ПО для себя). +
diff --git a/13_financial/assets/android.pdf b/09_financial/assets/android.pdf similarity index 100% rename from 13_financial/assets/android.pdf rename to 09_financial/assets/android.pdf diff --git a/13_financial/assets/ios.pdf b/09_financial/assets/ios.pdf similarity index 100% rename from 13_financial/assets/ios.pdf rename to 09_financial/assets/ios.pdf diff --git a/13_financial/assets/private.key b/09_financial/assets/private.key similarity index 100% rename from 13_financial/assets/private.key rename to 09_financial/assets/private.key diff --git a/13_financial/assets/public.key b/09_financial/assets/public.key similarity index 100% rename from 13_financial/assets/public.key rename to 09_financial/assets/public.key diff --git a/13_financial/pic/alert.png b/09_financial/pic/alert.png similarity index 100% rename from 13_financial/pic/alert.png rename to 09_financial/pic/alert.png diff --git a/13_financial/pic/sdk.png b/09_financial/pic/sdk.png similarity index 100% rename from 13_financial/pic/sdk.png rename to 09_financial/pic/sdk.png diff --git a/14_international/README.md b/10_international/README.md similarity index 83% rename from 14_international/README.md rename to 10_international/README.md index b477f05..c27c9f3 100644 --- a/14_international/README.md +++ b/10_international/README.md @@ -1,4 +1,4 @@ -# Домашнее задание к занятию «Международные и отраслевые стандарты (часть 1)» +# Домашнее задание к занятию «4.2. Международные и отраслевые стандарты» В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). @@ -12,9 +12,9 @@ Важно: правовые системы предлагают платную подписку на комментарии, аналитические материалы и подборки ссылок. В рамках нашего курса платная подписка не требуется. Все ДЗ рассчитаны на работу исключительно с бесплатной версией. Поэтому, пожалуйста, нигде не вводите данные своих карт и т.д. -## Задача №1. ГОСТ Р ИСО/МЭК 27000-2012 +## Задача №1 - ГОСТ Р ИСО/МЭК 27000-2021 -Вам необходимо изучить ГОСТ Р ИСО/МЭК 27000-2012 +Вам необходимо изучить ГОСТ Р ИСО/МЭК 27000-2021 Ответьте на следующие вопросы: 1. Что СМИБ? @@ -23,9 +23,11 @@ 1. Какие дополнительные свойства также могут быть включены в понятие информационная безопасность? Что они означают (дайте им определение)? 1. Что такое риск информационной безопасности? -## Задача №2. CIS Benchmarks +## Задача №2 - CIS Benchmarks* -Организация [CIS](https://www.cisecurity.org) предоставляет возможность скачать и просмотреть [CIS Benchmarks](https://www.cisecurity.org/cis-benchmarks/): +**Важно**: это необязательная задача, её (не)выполнение не влияет на получение зачёта по ДЗ. + +Организация [CIS](https://www.cisecurity.org/) предоставляет возможность скачать и просмотреть [CIS Benchmarks](https://www.cisecurity.org/cis-benchmarks/) (если ссылки не открываются, вы можете файлы CIS Benchmarks посмотреть в описании задания в личном кабинете): ![](pic/benchmarks-list.png) @@ -44,3 +46,4 @@ 1. Android: из каких соображений рекомендуется включить опцию `Allow remote lock and erase`? 1. Android: из каких соображений рекомендуется отключить опцию `Make pattern visible`? Что из себя представляет `shoulder surfing attack`? 1. Android: из каких соображений рекомендуется обеспечить отсутствие `Guest profiles`? + diff --git a/14_international/pic/benchmarks-list.png b/10_international/pic/benchmarks-list.png similarity index 100% rename from 14_international/pic/benchmarks-list.png rename to 10_international/pic/benchmarks-list.png diff --git a/14_international/pic/benchmarks-pdn.png b/10_international/pic/benchmarks-pdn.png similarity index 100% rename from 14_international/pic/benchmarks-pdn.png rename to 10_international/pic/benchmarks-pdn.png diff --git a/11_crypto_assymetric/README.md b/11_crypto_assymetric/README.md deleted file mode 100644 index 60dd8bd..0000000 --- a/11_crypto_assymetric/README.md +++ /dev/null @@ -1,186 +0,0 @@ -# Домашнее задание к занятию «Ассиметричные криптосистемы» - -В качестве результата пришлите ответы на вопросы в личном кабинете студента на сайте [netology.ru](https://netology.ru). - -## Общие замечания по безопасности - -При скачивании любых файлов перед их открытием рекомендуем вам проверять их с помощью сервиса [VirusTotal](https://www.virustotal.com/gui/home/upload). - -## Общие замечания по выполнению ДЗ - -Если у вас что-то не получилось, то пишите в канал курса, обязательно указывая: -1. Номер ДЗ -1. ОС -1. На каком шаге остановились -1. Скриншот ошибки -1. Краткое описание того, что сделали - -Пожалуйста, не пишите сообщения в стиле `я всё сделал по инструкции, ничего не работает` - это никоим образом не поможет решить проблему. - -## Работа в терминале - -Ознакомьтесь с [руководством по работе в терминале](../terminal) для вашей операционной системы. - -## Задача LibreSSL & OpenSSL - -### Справка - -[OpenSSL](https://www.openssl.org/) - Open Source криптографическая библиотека. - -[LibreSSL](https://www.libressl.org/) - форк (ответвление) от библиотеки OpenSSL, развиваемое в рамках проекта OpenBSD. - -### Установка - -#### Windows - -Пользователем Windows мы предлагаем воспользоваться возможностями проекта [Cygwin](https://www.cygwin.com), который предоставляет набор инструментов из мира Linux для ОС Windows. - -
-Инструкция по установке - -##### Шаг 0. Перейдите на главную страницу и скачайте установочный файл: - -![](pic/cygwin-00.png) - -##### Шаг 1. После чего запустите его на установку и нажмите на кнопку Далее: - -![](pic/cygwin-01.png) - -##### Шаг 2. Оставьте значение по умолчанию (Install from Internet) и нажмите на кнопку Далее: - -![](pic/cygwin-02.png) - -##### Шаг 3. Оставьте значения по умолчанию и нажмите на кнопку Далее: - -![](pic/cygwin-03.png) - -##### Шаг 4. Оставьте значения по умолчанию и нажмите на кнопку Далее: - -![](pic/cygwin-04.png) - -##### Шаг 5. Оставьте значения по умолчанию и нажмите на кнопку Далее: - -![](pic/cygwin-05.png) - -##### Шаг 6. Выберите любой сервер из списка и нажмите на кнопку Далее: - -![](pic/cygwin-06.png) - -##### Шаг 7. Оставьте значения по умолчанию и нажмите на кнопку Далее: - -![](pic/cygwin-07.png) - -##### Шаг 8. Оставьте значения по умолчанию и нажмите на кнопку Готово: - -![](pic/cygwin-08.png) - -##### Шаг 9. Откройте Cygwin Terminal через иконку на Рабочем Столе: - -![](pic/cygwin-09.png) - -##### Шаг 10. Введите команду `openssl version` (можете продолжать работу): - -![](pic/cygwin-10.png) - -По умолчанию вы будете находиться в каталоге `C:/cygwin64/home/<Имя вашего пользователя>`. - -
- -#### Linux - -Для пользователей Linux (Ubuntu) необходимо выполнить в терминале команду: `openssl version`. Если в результате вы видите вывод вроде `OpenSSL 1.1.1f 31 Mar 2020` (версия и дата могут отличаться) а не `Command 'openssl' not found`, тогда вам не нужно ничего устанавливать. - -Если же вы получили сообщение о том, что команда `openssl` не найдена, выполните следующую команду: `sudo apt-get install openssl`. - -#### Mac OS - -Для пользователей Mac необходимо выполнить в терминале команду: `openssl version`. Если в результате вы видите вывод вроде `LibreSSL 2.8.3` (версия может отличаться) а не `Command 'openssl' not found`, тогда вам не нужно ничего устанавливать. - -Если же вы получили сообщение о том, что команда `openssl` не найдена, выполните следующую команду: `brew install openssl`. - -### Инструкция - -Запустите терминал и начнём знакомиться с OpenSSL (LibreSSL): - -1\. Справка по основным командам OpenSSL - -```shell script -openssl help -``` - -2\. Справка по конкретной команде: - -```shell script -openssl help genrsa -``` - -Более детальную справку вы можете найти по адресу: https://www.openssl.org/docs/manmaster/man1/ - -### Задача - -В этой задаче мы научимся шифровать данные с помощью публичного ключа и расшифровывать с помощью приватного. - -Первое, с чего мы должны начать - это сгенерировать ключ. Для этого нужно выбрать алгоритм, размер ключа и passphrase (кодовую фразу). - -#### Шаг 1. Создайте закрытый ключ с длиной 2048: - -```shell script -openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -aes256 -out private.key -``` - -Где [`genpkey`](https://www.openssl.org/docs/manmaster/man1/openssl-genpkey.html) - подкоманда, отвечающая за генерацию ключей. - -Введите кодовую фразу два раза (обратите внимание, символы не будут отображаться в целях безопасности). - -Откройте файл `private.key` в любом текстовом редакторе (можете просмотреть в терминале с помощью команды `cat private.key`), удостоверьтесь, что он выглядит примерно так: - -```text ------BEGIN ENCRYPTED PRIVATE KEY----- -... -МНОГО БУКВ -... ------END ENCRYPTED PRIVATE KEY----- -``` - -#### Шаг 2. Сгенерируйте открытый ключ на базе закрытого: - -```shell script -openssl pkey -pubout -in private.key -out public.key -``` - -Где [`pkey`](https://www.openssl.org/docs/man1.0.2/man1/pkey.html) - подкоманда, отвечающая за обработку ключей. - -Откройте файл `public.key` (можете просмотреть в терминале с помощью команды `cat private.key`) в любом текстовом редакторе, удостоверьтесь, что он выглядит примерно так: - -```text ------BEGIN PUBLIC KEY----- -... -МНОГО БУКВ -... ------END PUBLIC KEY----- -``` - -#### Шаг 3. Создайте файл message.txt со своей фамилией - -#### Шаг 4. Зашифруйте сообщение с помощью публичного ключа: - -```shell script -openssl pkeyutl -encrypt -pubin -inkey public.key -in message.txt -out cypher.txt -``` - -Где [`pkeyutl`](https://www.openssl.org/docs/manmaster/man1/openssl-pkeyutl.html) - подкоманда, отвечающая за низкоуровневые операции с публичными ключами (включая шифрование и расшифрование). - -Откройте файл `cypher.txt` в любом текстовом редакторе, удостоверьтесь, что он не читабелен. - -#### Шаг 5. Убедитесь, что файл `cyper.txt` расшифровывается: - -```shell script -openssl pkeyutl -decrypt -inkey private.key -in cypher.txt -out decrypted.txt -``` - -### Результат - -В качестве результата пришлите: -1. Публичный и приватный ключ -1. Passphrase -1. Зашифрованный файл diff --git a/README.md b/README.md index c8363af..f5d81df 100644 --- a/README.md +++ b/README.md @@ -2,42 +2,38 @@ ## Блок 1. Введение в информационную безопасность -1.1. [x] [Информационная безопасность](01_information-security) +1.1. [x] [Информационная безопасность: введение в специальность](01_information-security) -1.2. [x] [Информация с ограниченным доступом (государственная и коммерческая тайны)](02_privacy) +1.2. [x] [Информация с ограниченным доступом (тайны)](02_privacy) -1.3. [x] [Информация с ограниченным доступом (персональные данные и другие виды тайн)](03_privacy) +## Блок 2. Нормативное регулирование информационной безопасности -## Блок 2. Техническая защита информации +2.1. [x] [Аудит информационной безопасности](https://github.com/netology-code/ibb-homeworks/blob/IBB-33/03_audit_IS/README.md) -2.1. [x] [Нормативное регулирование](04_regulation) +2.2. [x] [Нормативное регулирование](03_regulation) -2.2. [x] [Классификация и категоризация информации, информационных систем](05_classification) +2.3. [x] [Классификация и категоризация информации, информационных систем](04_classification) -2.3. [x] [Организация защиты информации (часть 1)](06_organization) +2.4. [x] [Лицензирование, аттестация, сертификация](https://github.com/netology-code/ibb-homeworks/blob/IBB-33/05_certification/README.md) -2.4. [x] [Организация защиты информации (часть 2)](07_organization) - -2.5. [x] [Средства защиты информации и их сертификация](08_certification) +2.5. [x] [Моделирование угроз](https://github.com/netology-code/ibb-homeworks/blob/IBB-33/06_threats/README.md) ## Блок 3. Криптографическая защита информация -3.1. [x] [Теоретические основы криптографии](09_crypto-basics) - -3.2. [x] [Симметричные криптосистемы](10_crypto-symmetric) - -3.3. [x] [Ассиметричные криптосистемы](11_crypto_assymetric) +3.1. [x] [Теоретические основы криптографии, симметричные криптосистемы](07_crypto-symmetric) -3.4. [x] [Криптография: нормативное регулирование](12_crypto_regulation) +3.2. [x] [Ассиметричные криптосистемы](08_crypto_assymetric) ## Блок 4. Защита информации в финансовых системах, международные и отраслевые стандарты -4.1 [x] [Финансовые системы](13_financial) +4.1 [x] [Финансовые системы](09_financial) -4.2 [x] [Международные и отраслевые стандарты (часть 1)](14_international) - -4.3 [x] Международные и отраслевые стандарты (часть 2) - финальная лекция на курсе, ДЗ не предусмотрено +4.2 [x] [Международные и отраслевые стандарты](10_international) ## Дополнительные материалы +[Разбор кейса "Как определить активы организации в контексте ИБ"](https://github.com/netology-code/ibb-homeworks/blob/IBB-33/casestudy_company%20assets.md) + +[Разбор кейса "Модель угроз по методике ФСТЭК"](https://github.com/netology-code/ibb-homeworks/blob/IBB-33/casestudy_threat_model.md) + [Руководство по работе в терминале](terminal) diff --git a/casestudy_company assets.md b/casestudy_company assets.md new file mode 100644 index 0000000..c6b5432 --- /dev/null +++ b/casestudy_company assets.md @@ -0,0 +1,39 @@ +# Разбор кейса «Как определить активы организации в контексте ИБ» + +*Перед выполнением домашнего задания по занятию [«Аудит информационной безопасности»](https://github.com/netology-code/ibb-homeworks/tree/IBB-33/03_audit_IS) рекомендуем ознакомиться с примером. В нём подробно разобрано, как определить актив компании в контексте ИБ и какие законы его регулируют.* + +--- +### Кейс «Как определить активы организации в контексте ИБ» + +Специалисту по информационной безопасности требуется определить активы организации в контенте ИБ. Он обладает следующими вводными: + +- государственная организация в рамках гособоронзаказа производит продукцию; +- технологический процесс разработки составляет государственную тайну. Все чертежи, проекты и описание технологического процесса по разработке, имеющие гриф секретности «Секретно», хранятся в электронном виде в файловом хранилище; +- сотрудники для работы с чертежами и проектами используют автоматизированные рабочие места, которые с помощью локально-вычислительной сети соединены с файловым хранилищем. После окончания рабочего дня все носители сведений, составляющих государственную тайну, сдаются на хранение в помещение секретного делопроизводства; +- сотрудники отдела кадров для оформления работников используют заранее заготовленные бланки, куда от руки вписывают нужную информацию. После подписания и утверждения бланки подшиваются в отдельную папку с фамилией работника и сдаются в архив; +- на автоматизированном рабочем месте главного бухгалтера установлено программное обеспечение «Система удалённого финансового документооборота». + + +### Решение кейса + +Итак, давайте найдём активы организации. + +Известно, что в компании обрабатываются сведения, составляющие государственную тайну. Хранятся они в электронном виде на файловом хранилище, доступ к которому пользователи получают с использованием локально-вычислительной сети. Можно предположить, что в организации имеется объект информатизации для работы со сведениями, составляющими государственную тайну. Известно, что эти сведения имеют степень секретности «Секретно», значит, можно предположить, что объект третьей категории. + +**1. Первый актив организации — объект информатизации для работы со сведениями, составляющими государственную тайну, третьей категории.** +Данный актив регулируется [Законом РФ «О государственной тайне» от 21.07.1993 N 5485-1](https://www.consultant.ru/document/cons_doc_LAW_2481/). + +Есть информация, что после окончания рабочего дня все носители сведений, составляющих государственную тайну, сдаются на хранение в помещение секретного делопроизводства. Это делается не просто так — значит, нужно обеспечить их сохранность. + +**2. Второй актив — носители сведений, составляющих государственную тайну.** +Данный актив регулируется [ Законом РФ «О государственной тайне» от 21.07.1993 N 5485-1](https://www.consultant.ru/document/cons_doc_LAW_2481/). + +Сотрудники отдела кадров для оформления работников используют заранее заготовленные бланки, куда от руки вписывают нужную информацию. Можно сделать вывод, что в этих бланках содержатся персональные данные работников. При этом на автоматизированных рабочих местах персональные данные не обрабатываются. После оформления бланки сдаются в архив для сохранности. + +**3. Третий актив — бумажные носители информации, содержащие персональные данные сотрудников.** +Данный актив регулируется [Федеральным законом «О персональных данных» от 27.07.2006 N 152-ФЗ.](https://www.consultant.ru/document/cons_doc_LAW_61801/). + +На автоматизированном рабочем месте главного бухгалтера установлено программное обеспечение «Система удалённого финансового документооборота». Это программное обеспечение для работы с Казначейством России. То есть, скорее всего, относится к государственным информационным системам (ГИС). + +**4. Четвёртый актив — ГИС «Система удалённого финансового документооборота».** +Данный актив регулируется [Федеральным законом от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации».](https://www.consultant.ru/document/cons_doc_LAW_61798/) diff --git a/casestudy_threat_model.md b/casestudy_threat_model.md new file mode 100644 index 0000000..399954a --- /dev/null +++ b/casestudy_threat_model.md @@ -0,0 +1,67 @@ +# Разбор кейса «Моделирование угроз по методике ФСТЭК» + +### Вопрос 1. Напишите возможные негативные последствия от реализации или возникновения угроз безопасности информации + +#### Для этого выполните следующие шаги: + +1. Уточните актив предприятия, для которого составляете модель угроз. +В [кейсе](https://github.com/netology-code/ibb-homeworks/blob/IBB-33/casestudy_company%20assets.md) это **объект информатизации третьей категории для обработки сведений, составляющих государственную тайну.** +2. Изучите виды риска и негативные последствия в Приложении 4 (стр. 42-44) [«Методик оценки угроз безопасности от ФСТЭК России от 05 февраля 2021 г»](https://u.netology.ru/backend/uploads/lms/attachments/files/data/54611/%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B4%D0%BE%D0%BA%D1%83%D0%BC%D0%B5%D0%BD%D1%82_%D0%BE%D1%82_5_%D1%84%D0%B5%D0%B2%D1%80%D0%B0%D0%BB%D1%8F_2021_%D0%B3.__1_.pdf). +3. Выберите то, что подходит именно под Ваш актив. Возьмите из таблицы подходящие риски и негативные последствия. +4. Дополните каждый риск и негативные последствия обоснованием, почему вы выбрали именно их. + +В итоге получается таблица + +| Виды риска | Негативные последствия | Обоснование | +| ------------- | ------------- | ------------- | +| Ущерб физическому лицу | Нарушение конфиденциальности (утечка) секретных данных | Засекреченные сведения о физическом лице могут стать известны третьим лицам, что может привести, например, к шантажу данного физического лица | +| Риски юридическому лицу, индивидуальному предпринимателю, связанные с хозяйственной деятельностью | Потеря конкурентного преимущества | Например, если секретная технология производства товара станет известна другим производителям, то конкурентное преимущество будет утрачено в силу того, что конкуренты смогут производить точно такой же товар | +| Ущерб государству в области обеспечения обороны страны, безопасности государства и правопорядка, а также в социальной, экономической, политической, экологической сферах деятельности | Утечка секретных данных | Государству может быть причинено множество видов ущерба, в том числе финансовые затраты на устранение последствий утечки секретных данных | + +----- + +### Вопрос 2. Какие есть возможные объекты воздействия угроз безопасности информации? + +#### Для этого выполните следующие шаги: + +1. Изучите виды объектов воздействия угроз безопасности в Приложении 5 (стр. 45-46) [«Методик оценки угроз безопасности от ФСТЭК России от 05 февраля 2021 г»](https://u.netology.ru/backend/uploads/lms/attachments/files/data/54611/%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B4%D0%BE%D0%BA%D1%83%D0%BC%D0%B5%D0%BD%D1%82_%D0%BE%D1%82_5_%D1%84%D0%B5%D0%B2%D1%80%D0%B0%D0%BB%D1%8F_2021_%D0%B3.__1_.pdf). +2. Выберите те объекты, которые подходят именно для Вашего актива. + +
+ Подсказка + +`К возможным объектам воздействия угроз безопасности могут относиться: системы хранения данных, или базы данных, системы управления базами данных, сайт, почтовый сервер, почтовый клиент, автоматизированное рабочее место пользователя, система управления и администрирования, контроллер домена, сетевые службы, проводные и беспроводные каналы передачи данных, телекоммуникационное оборудование, носители информации, помещения, в которых хранится, обрабатывается или обсуждается защищаемая информация и т. д.` + +
+ +Оформите результат в таблицу + +| №| Возможные объекты воздействия угроз безопасности | +| --- | --- | +| 1 | Файловое хранилище объекта информатизации | +| 2 | Помещение секретного делопроизводства, где хранятся носители сведений, составляющих государственную тайну | +| 3 | Линии связи между файловым хранилищем и рабочими местами пользователей | + +------ + +### Вопрос 3. Опишите возможные способы реализации или возникновения угроз безопасности информации + +В работе используйте Приложение 10 из [«Методик оценки угроз безопасности от ФСТЭК России от 05 февраля 2021 г»](https://u.netology.ru/backend/uploads/lms/attachments/files/data/54611/%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B4%D0%BE%D0%BA%D1%83%D0%BC%D0%B5%D0%BD%D1%82_%D0%BE%D1%82_5_%D1%84%D0%B5%D0%B2%D1%80%D0%B0%D0%BB%D1%8F_2021_%D0%B3.__1_.pdf). + +Методика определяет 13 основных видов нарушителей. Вам необходимо выбрать не менее пяти, которые могут реализовать угрозы безопасности применительно к выбранному вами активу. + +**Определите:** +* **категорию нарушителя** — внешний или внутренний; +* **объект воздействия** — их вы уже определили во втором вопросе, а через двоеточие укажите, какая угроза может быть реализована. Для справки можете использовать [банк данных угроз безопасности информации](https://bdu.fstec.ru/threat); +* **доступные интерфейсы** — это то, через что (или с использованием чего) нарушитель может реализовать угрозу безопасности. Для справки можете использовать пункт 5.2.4 [«Методики оценки угроз безопасности от ФСТЭК России от 05 февраля 2021 г»](https://u.netology.ru/backend/uploads/lms/attachments/files/data/54611/%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B4%D0%BE%D0%BA%D1%83%D0%BC%D0%B5%D0%BD%D1%82_%D0%BE%D1%82_5_%D1%84%D0%B5%D0%B2%D1%80%D0%B0%D0%BB%D1%8F_2021_%D0%B3.__1_.pdf)»; +* **способ реализации** — это то, что именно должен сделать нарушитель или другое лицо, действия или бездействие которого могут помочь нарушителю, чтобы реализовать угрозу безопасности. Для справки можете использовать пункт 5.2.3 [«Методики оценки угроз безопасности от ФСТЭК России от 05 февраля 2021 г»](https://u.netology.ru/backend/uploads/lms/attachments/files/data/54611/%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B4%D0%BE%D0%BA%D1%83%D0%BC%D0%B5%D0%BD%D1%82_%D0%BE%D1%82_5_%D1%84%D0%B5%D0%B2%D1%80%D0%B0%D0%BB%D1%8F_2021_%D0%B3.__1_.pdf). + +Оформите результат в таблицу + +| Вид нарушителя | Категория нарушителя | Объект воздействия | Доступные интерфейсы | Способы реализации | +| ------------- | ------------- | ------------- | ------------- | ------------- | +| Специальные службы иностранных государств | Внешний | Линии связи между файловым хранилищем и рабочими местами пользователей: несанкционированный доступ к информации | Канал передачи между файловым хранилищем и рабочими местами пользователей | Перехват побочных электромагнитных излучений и наводок | +| Отдельные физические лица (хакеры) | Внешний | Файловое хранилище объекта информатизации: несанкционированный доступ к информации | Доступ через локальную вычислительную сеть организации | Внедрение вредоносного программного обеспечения | +| Преступные группы (криминальные структуры) | Внешний | Помещение секретного делопроизводства, где хранятся носители сведений, составляющих государственную тайну: утрата носителей | Физический доступ | Проникновение в помещение | +| Системные администраторы и администраторы безопасности | Внутренний | Файловое хранилище объекта информатизации: утечка информации | Доступ через локальную вычислительную сеть организации | Использование учетных записей, обладающих привилегированными правами | +| Авторизованные пользователи систем и сетей | Внутренний | Файловое хранилище объекта информатизации: нарушение конфиденциальности информации | Доступ через локальную вычислительную сеть организации | Неправильно настроенные администратором безопасности СЗИ (дискреционные, мандатные права доступа) |