CC BY
122
КОМПЬЮТЕРНОЕ ОБЕСПЕЧЕНИЕ И ВЫЧИСЛИТЕЛЬНАЯ ТЕХНИКА
УДК 004.658.2
И. М. Космачёва, Е. П. Яковлева
ПОДСИСТЕМА УПРАВЛЕНИЯ ДОСТУПОМ В ИНФОРМАЦИОННЫ1Х СИСТЕМАХ ВУЗА
Проанализированы особенности обработки данных и предоставления прав доступа к ним в образовательных учреждениях. Выявлены уязвимости в организации и контроле процесса предоставления доступа. Предложена модель формализации процесса управления правами доступа пользователей в соответствии с их должностными обязанностями, включая мониторинг использования предоставленных прав. Для этого введены понятия «шаблон поведения пользователя» и «уровень доверия пользователю». Описаны основные подходы и алгоритмы, структура базы данных для разработки приложения, которые положены в основу проекта подсистемы управления доступом, совершенствующей систему информационной безопасности.
Ключевые слова: образовательные учреждения, информационная безопасность, управление доступом, аудит, должностная инструкция.
Введение
В настоящее время в высших учебных заведениях активно развивается электронный документооборот, внедряются различные информационные системы, отмечается увеличение количества пользователей и разнообразие задач по обработке информации различного уровня, содержания и конфиденциальности. Это персональные данные, коммерческая и служебная информация, а также информация, требующая защиты авторских прав.
Конкуренция в сфере образования в последнее время увеличилась, в том числе в связи с преобладанием количества абитуриентов над количеством мест в учебных заведениях. Это сказывается и на нагрузке преподавателей. Сотрудники часто совмещают деятельность в разных учебных заведениях-конкурентах, а студенты совмещают учебу с работой в различных подразделениях вуза, в том числе и в отделах, связанных с эксплуатацией и администрированием автоматизированных систем.
Отсутствие необходимого количества квалифицированных кадров по информационной безопасности, частая их смена, повышенная нагрузка, дефицит средств на повышение квалификации сотрудников, а также имеющие место нарушения в политике информационной безопасности требуют проведения анализа и совершенствования процедуры управления доступом пользователей к информационным системам образовательного учреждения. Последствия реализации угроз информационной безопасности в связи с нарушением прав доступа, ошибками в администрировании систем, злоупотреблением служебным положением за счет слабых мест в защите могут привести как к потере важных данных, так и к потере репутации или конкурентных преимуществ вуза.
В связи с вышеизложенным был проведен анализ недостатков в политике информационной безопасности вузов и предложен проект совершенствования подсистемы управления доступом.
Анализ проблемы управления доступом в образовательных учреждениях
Подсистема управления доступом и распределения прав является ключевой в системе защиты информации. Законодательством в сфере образования регламентируются мероприятия по повышению качества образовательных услуг и исключению коррупционной составляющей из образовательного процесса. Это выражается в развитии процессов информатизации, направлен-
ных на прозрачность процессов, связанных с обучением и оценкой знаний студентов. Внедряются новые информационные сервисы: электронные ведомости, электронные зачетные книжки и т. д. [1—2]. Информационные системы часто обновляются, что может приводить к различным ошибкам в их работе и системе безопасности [3].
Слабая парольная политика (повторное использование паролей, пароли по умолчанию и т. д.) в информационных системах, отсутствие практики проведения и анализа аудита за событиями и действиями пользователей в системе, отсутствие проверки прав доступа на избыточность, использование средств удаленного администрирования как приложения высокого риска, по данным различных отчетов о состоянии информационной безопасности, затрагивают подавляющее большинство исследованных организаций [4].
Именно поэтому вопрос о распределении прав доступа и управления ими по-прежнему является серьезной проблемой в сфере информационной безопасности для образовательных учреждений. Информационные системы вузов представляют интерес как для злоумышленников извне, так и для злоумышленников из числа сотрудников.
Необходимо отметить, что проблема назначения прав доступа в большей степени лежит в организационной плоскости. В организациях, в том числе образовательных, пользователей много, и они часто получают набор прав, избыточный для выполнения служебных обязанностей. У сотрудников изменяются функции, должности, сотрудники переходят в рамках организации из одного подразделения в другое, совмещают разные должности. В условиях отсутствия должного контроля сотруднику предоставляются новые права, при этом старые не отменяются. Распределенная система предоставления доступа может привести к регистрации сотрудника под новой учетной записью, что ещё более усложняет обеспечение информационной безопасности.
Следует обратить внимание и на то, что в большинстве вузов параллельно ведется и бумажный, и электронный документооборот, который осуществляют разные сотрудники. Так, например, бумажную ведомость или направление на экзамен и зачет заполняет преподаватель, а электронную - методист деканата. Дублирование преподавателем информации по результатам сессии не всегда производится в электронном виде, да и защита введенных данных не обеспечивается технологиями электронной подписи. Имеют место подделки студентами направлений, утеря зачетных книжек и др. При восстановлении утерянных данных могут возникать ошибки пользователей, которые необходимо контролировать. Отмечается и пренебрежительное отношение сотрудников к соблюдению мер информационной безопасности, которые игнорируются ими как мешающие выполнению профессиональных обязанностей.
При защите информации от несанкционированного доступа наиболее эффективной мерой являются меры по предотвращению нарушений, такие как корректное распределение прав пользователей, своевременный их пересмотр, мониторинг событий доступа и регулярные аудиты, которые, как правило, не ведутся. Отсутствие целостной картины в системе аудита может стать критичным в обеспечении безопасности. Если несанкционированный доступ уже имеет место, и об этом известно, разработка контрмер оказывается крайне затруднительной из-за отсутствия полной информации о путях нарушения.
В связи с этим актуальна разработка подсистемы управления доступом, которая предоставляет функции по анализу прав доступа и должностных обязанностей, данных результатов аудита действий пользователей для выявления избыточных прав, подозрительных действий пользователей и расхождения с шаблоном выданного ранее набора прав. Другая функция такой системы - это обеспечение соответствия сроков предоставления, отзыва или блокирования прав пользователя со сроками приема на работу, перевода, увольнения или ухода сотрудника в отпуск, на больничный, отъезд в командировку или на курсы повышения квалификации.
Автоматизированная подсистема управления доступом к информационным системам вузов
Информационные системы, используемые в сфере образования, отличаются наличием взаимосвязей между собой. Подсистема разграничения доступа предназначена для осуществления упорядоченного доступа пользователей к сервисам и базам данных организации. Под доступом к информации понимается ознакомление с информацией, ее обработка, в частности копирование, модификация или уничтожение.
В рамках вуза можно выделить информационные системы бухгалтерии, библиотеки, ре-дакционно-издательского отдела, деканата и т. д. Многие системы находятся в одном информационном пространстве и связаны между собой, как показано, например, на рис. 1.
Информационное пространство вуза условно можно разделить на три блока, отличающиеся по функционалу. Первый блок связан с основной функцией учебного заведения и предназначен для организации учебного процесса. Блок включает в себя приёмную комиссию, деканаты (включая электронный деканат), библиотеку вуза, кафедры. Выход вуза во внешнюю среду обеспечивается через сайты и образовательный портал. В сочетании с подразделениями, обеспечивающими функционирование портала и сайтов, кафедр вуза, эта часть блока предполагает непосредственное обслуживание студентов и представительские [5] задачи (размещение рекламных материалов, новостей, локальных нормативных актов, лицензий, аккредитаций и т. д.). Часть блока, включающая деканаты, кафедры и учебный отдел, образует внутри блока подсистему среды обеспечения учебного процесса: учебные поручения, планы, рейтинги и т. д. Эта подсистема также обеспечивает учебный процесс, но закрыта для студентов и внешних посетителей. Данная система является наиболее уязвимой с точки зрения информационной безопасности и представляет интерес для потенциальных нарушителей.
Рис. 1. Информационное пространство вуза: ИБ - информационная безопасность;
АСУ - автоматизированные системы управления; ВСиС - вычислительные сети и связь
Для решения административно-хозяйственных задач рациональным способом обеспечения информационной безопасности является создание локальной сети с повышенным уровнем безопасности. Так, например, бухгалтерия не имеет доступа к сети Интернет. Аналогичные подходы могут быть использованы для других подразделений, для которых вопросы информационной безопасности являются первостепенными.
Промежуточное положение между этими двумя блоками занимают подразделения, занимающиеся разработкой и обслуживанием сетей и технических средств. Отделы АСУ, ИБ и т. д.
работают с внешней средой, занимаясь, в том числе, политикой безопасности, и обслуживают локальные сети и системы. Нарушения информационной безопасности в этих подразделениях представляют наибольшую опасность в части последствий и требуют пристального внимания.
Анализ структуры и функционала выделенных блоков позволяет выделить наиболее вероятные нарушения информационной безопасности. В электронной образовательной среде наибольшую угрозу представляют внешние воздействия, например вирусы, попадающие на компьютеры и серверы из-за нарушения политики безопасности. У некоторых пользователей антивирусное обеспечение либо бесплатное, либо неактуальное (базы не обновляются). Среди других нарушений можно отметить несовершенные политики доступа, кражу паролей и пр. Деканаты, кафедры, учебный отдел работают, как правило, в локальной сети, и для этой подсистемы характерны нарушения информационной безопасности в части несанкционированного доступа (кража паролей, носителей информации и т. д.) [2]. Нарушения информационной безопасности во внутренней защищённой сети (кадры, бухгалтерия и т. д.), ввиду их закрытости, могут происходить с участием сотрудников, но в ней обнаружить нарушителей проще, чем в других системах.
В подразделении блока управления информационными системами и технологиями нарушения информационной безопасности могут происходить по разнообразным сценариям, но наиболее вероятным является нарушение правил безопасности сотрудниками.
Рассмотрим систему предоставления прав доступа сотрудникам к информационным системам организации при различных ротациях сотрудников в вузе (рис. 2).
Начальник пасха 1ГЕ Начальник отлила АСУ Сотрудник отдела АСУ || Рукав од нтель подразделения
PI Выработка общей политики доступа ____П--
и- Приёи кг работу, назначение на ло.-нисчггъ Прн»: ка работу. KiSHjqäiHt KS жилостъ
11 3üB.t:i на получение muamcivm п
и РэстюЕяа^кк; Назначение логина
и пароля о
Лаяькэ ка получение лопвтккктьккЕ; гргв хтг Еьшолкгнкч разстых работ и дотлнтельнкч бшле работ
0 Расшртхшие ва коррэстировну qjaE Рэгпоралняие в корректировку 17РЭЕ JlssemeHue с жоррежт крсвке
__Üf>-1b|H4f____Г>-----
fj m PaCTIDJJSÜ.iH l:i КЗ удаление вользовамля Удаление., о повешение об удалении
Пгштша грш Провел ение
Реняьтиы о
аудита и
- процессы отдела кадров; - процессы организации;
; ■ — принятие решения (ИЛИ); инициирующее д
Рис. 2. Схема предоставления прав доступа сотрудникам к информационным системам
В схеме реализуются принципы ограничения срока предоставления прав доступа и исключения возможности неконтролируемого предоставления прав, жёстко регламентируемых процедур и правил доступа к информационным ресурсам.
Пусть администрирование и контроль прав доступа должны быть реализованы посредством разработки специализированной автоматизированной системы на основе представленной схемы. В ней ключевые роли в регламентировании прав доступа занимают отделы ИБ и АСУ, которые взаимодействуют с отделом кадров. Отбор, блокирование и выдача прав связаны с датами приема (перевода, увольнения, отстранения и др.) на работу, и эта информация находится у отдела кадров.
Общая политика прав доступа определяется отделом ИБ. В политике определяются типовые наборы прав, соответствующие должностным обязанностям каждой должности. Отдел кадров при приёме сотрудника на работу, изменении должности, переизбрании предоставляет информацию руководителю подразделения, в отдел ИБ и начальнику отдела АСУ. Руководитель подразделения дублирует назначение заявкой на имя начальника АСУ, после которого назначенному сотруднику предоставляется типовой пакет прав доступа. В назначении прав задействованы три службы. Обязательным условием является назначение срока предоставления прав, по истечении которого права автоматически отменяются.
Предоставление дополнительных прав инициируется руководителем подразделения с получением разрешения на корректировку прав в отделе ИБ. Отдел ИБ даёт соответствующее указание отделу АСУ, и далее отдел АСУ информирует руководителя подразделения. Дополнительные права предоставляются также на ограниченный срок.
При увольнении отмена прав, обновление или отбор атрибутов доступа инициируются отделом кадров по схеме, аналогичной порядку назначения.
Для обеспечения изменения прав доступа, для добавления права или его изменения структурным подразделением вуза подается заявка в отдел ИБ. При увольнении заявка на лишение прав доступа пользователю поступает от отдела кадров в отдел АСУ.
Сроки действия прав доступа могут определяться трудовым договором. Срок аннулирования прав доступа при увольнении или смене работы ограничивается указанной в приказе по кадрам датой увольнения (перевода).
При издании приказа о назначении (переизбрании) сотрудника автоматически генерируется электронное сообщение на адрес руководителя подразделения. Это сообщение, подписанное электронной подписью, руководитель подразделения с подтверждением передаёт в отдел АСУ.
Реализация поставленной задачи требует разработки трёх интерфейсов автоматизированной системы для различных пользователей. Первый интерфейс - для сотрудника отдела кадров -включает в себя стандартные параметры сотрудника (Ф.И.О., дата рождения, должность и т. д.). Кроме них, добавляется поле с выбором «Назначить/У волить», в зависимости от выбора которого данные о сотруднике автоматически передаются в подразделение на утверждение руководителем заявки на предоставление прав доступа или в отдел АСУ - на отмену прав доступа. Второй интерфейс - для начальника подразделения - представляет собой форму с данными назначенного (уволенного) сотрудника, в которой предусмотрена функция «Отправить запрос на предоставление (отзыв, блокирование) прав доступа». Заявка поступает в отдел АСУ, где на основании действующей должностной инструкции назначаются соответствующие права доступа. Третий интерфейс -для сотрудника отдела АСУ - представляет данные по заявке о принимаемом/увольняемом сотруднике, данные из должностной инструкции, касающейся доступа к информационной среде, результаты предыдущего аудита и аналитический модуль для анализа аудита избыточности прав доступа. На основании полученных данных назначаются или аннулируются права доступа сотрудника.
С заданной периодичностью, с использованием актуализированной базы назначений отдела кадров, проводится аудит прав доступа, который призван исключить ошибочные назначения прав доступа.
Введем в рассмотрение понятие шаблона набора прав (роли), шаблона поведения пользователя в системе.
Под шаблоном поведения пользователя в системе будем понимать часто используемый набор привилегий из множества предоставленных, который пользователь реализует в рамках одного сеанса работы при выполнении определенной должностной обязанности.
Автоматизировать разработку типовых прав доступа можно путём стандартизации процедуры разработки должностных инструкций с использованием ключевых слов или фраз. На рис. 3 представлен алгоритм генерации базового набора прав доступа на основе должностной инструкции, который в дальнейшем предполагается дополнить этапами, связанными со сравнением выданных прав по заявке с шаблоном, а позже - с фактическими правами, наличие которых отслеживается во время аудита и на основе метаданных базы.
Данный алгоритм может быть использован при решении задачи автоматизации процедуры формирования набора прав доступа на основе поиска ключевых слов в должностных инструкциях организации и распорядительной документации (ключевыми словами могут быть, например, слова, взятые из должностных инструкций: «учебные программы», «педагогическая нагрузка», «учебные пособия», «индивидуальные планы» и т. д.
Ввод данных (выбор) производится лицом, ответственным за разработку обязанностей для новой должности, путём простановки отметок в чек-боксах приложения в списке обязанностей. Одновременно, автоматически или вручную, создаётся код должностной инструкции. При разработке базы обязанностей отделом ИБ назначаются права доступа, соответствующие каждой из функциональных задач. В результате генерируются и выводятся на печать два документа: собственно должностная инструкция и перечень прав доступа на согласование с отделом ИБ. Учитывая многозадачность, характерную для сотрудников вузов, процесс разработки должностной инструкции должен пройти этапы согласования с возможностью корректировки. Исключением является составление типовых инструкций, которые могут представляться без корректировки.
_±_
Поиск объектов доступа по базе «Должностные инструкции» для пользователя
I
ГконеД
Рис. 3. Алгоритм генерации базового набора прав доступа на основе должностной инструкции
Поиск ключевых слов в должностной инструкции рекомендуется производить с помощью полнотекстового поиска, т. к. он помогает ускорить поиск слов или сочетания слов в текстовом поле с учетом морфологии. Возможности полнотекстового поиска в MS SQL Server, например, позволяют осуществлять:
- поиск не только по отдельным словам или фразам, но и по префиксным выражениям (можно, например, задать текст начала слова или фразы);
- поиск слова по словоформам (например, можно задать различные формы глаголов или существительные в единственном и во множественном числе), т. е. по производным выражениям;
- поиск слова или фразы, близких к другим словам или фразам (задаются выражения с учетом расположения);
- поиск синонимических форм слова;
- можно указывать слова или фразы с взвешенными значениями (например, если в запросе указано несколько слов или фраз, то им можно присвоить важность от 0,0 до 1,0 (1,0 означает, что это самое важное слово или фраза));
- можно не учитывать в поиске некоторые слова через «список стоп-слов». Включение полнотекстового поиска связано с созданием специальных индексов, полнотекстового каталога. При создании полнотекстового индекса для осуществления поиска надо указать таблицу и конкретный столбец этой таблицы (например, таблица Dolznost и столбец Dolznostinstrukcia): SELECT Numberdolznost FROM Dolznost WHERE CONTAINS (Name, "планы кафедры"). Развёрнутость, характерная для большинства документов подобного типа, с одной стороны, и отсутствие необходимых инструкций разработчикам по применению определённых слов и фраз, с другой, значительно осложняют задачу. В связи с этим полностью автоматизировать назначение прав этим способом сложно.
После получения базового набора прав доступа и дальнейшей его корректировки пользователи получают права на доступ к системе. Данные аудита определяют корректность выданных прав и влияют на уровень доверия пользователя.
На рис. 4 представлена контекстная диаграмма подсистемы управления доступом.
Нормативно-правовые (ФЗ, приказы ФСТЭК, локальные нормативные документы)
Предоставленные
права доступа
д Автоматизированная система
Данные мониторинга ^ управления доступом
действий пользователей |/
Штатное расписание,
должностные обязанности
Сотрудник
Учетная карточка пользователя
Отчет по
предоставленным привилегиям пользователям и сравнению текущего набора прав с заданным шаблоном
Рис. 4. Контекстная диаграмма разработки автоматизированной системы управления доступом: ФЗ - федеральные законы;
ФСТЭК - Федеральная служба по техническому и экспортному контролю
При разработке системы должны выполняться требования действующих нормативно-правовых документов [6-9]. Входными данными являются перечень предоставленных прав доступа и штатное расписание с должностными обязанностями. Данные мониторинга (аудита) действий пользователей используются для выявления избыточности прав. Для проектирования базы данных автоматизированной системы управления доступом построена ER-диаграмма (рис. 5).
Выходными данными в автоматизированной системе управления доступом является карточка пользователя, в которой отражены права доступа и уровень доверия, агрегированные данные аудита действий пользователя. Решение о корректировке прав пользователя остаётся за сотрудником, ответственным за информационную безопасность в организации.
Аудит действий пользователя сводится к регистрации действий пользователя в течение сеанса работы (транзакций). Настройки аудита, их конфигурация и смена также требуют анализа на соответствие установленной политике информационной безопасности посредством автоматизации этого процесса.
В качестве событий аудита и параметров могут использоваться:
- время входа и время работы в системе. Так, например, заполнение рейтинговых ведомостей, экзаменационных и зачетных ведомостей производится по определённому графику;
- длительность сеанса работы;
- терминал, с которого производится вход в систему;
- среднее количество данных, обработанных в течение дня во время сессии;
- количество повторении определенной последовательности операции, выполняемых пользователем в системе, и др.
Вся эта информация собирается в личной карточке сотрудника. Эти параметры дают общую картину деятельности сотрудника в информационной среде, определяют шаблон его поведения в системе.
Рис. 5. ER-диаграмма базы данных системы управления доступом
Сам анализ может опираться на методы классической и нетрадиционной статистики [10]. Традиционная статистика оперирует усредненными характеристиками выборки, которые часто являются фиктивными величинами.
Отметим, что методы математической статистики полезны для проверки заранее сформулированных гипотез. Современные технологии Data Mining позволяют формировать гипотезы и выявлять необычные шаблоны (сочетания) данных, в частности событий аудита. Базовым понятием в теории ассоциативных правил технологии Data Mining является транзакция - некоторое множество событий, происходящих совместно. В контексте решаемой проблемы это набор действий от имени пользователя в течение его сеанса работы. Для расширения возможностей анализа транзакционных данных с учетом временного аспекта существует задача Data Mining под названием «Последовательные шаблоны». Использование описанных методов расширит возможности повышения эффективности и оперативности управления доступом пользователей.
Заключение
В больших организациях с десятками тысяч сотрудников определение роли каждого служащего может представлять собой весьма трудоемкий плохоформализуемый процесс, и учесть всю взаимосвязь бизнес-процессов руководство подразделений может лучше, чем системный администратор. При большом количестве пользователей и разнообразии их прав задача администрирования становится крайне сложной. Затруднены также получение полной картины состояния прав доступа сотрудников и осуществление контроля к ресурсам информационных систем.
Именно поэтому такую важную роль играет подсистема управления доступом. Построение автоматизированной процедуры контроля предоставленных полномочий с шаблоном поведения пользователя на основе собранной статистики и принятие решения на основе анализа о редактировании прав доступа и уровня доверия пользователю позволят уменьшить нагрузку на администратора и снизит риски нарушения информационной безопасности, в том числе и со стороны привилегированных пользователей.
СПИСОК ЛИТЕРАТУРЫ
1. Ахмедова Х. Г. Использование информационных технологий для повышения университетского образования / Х. Г. Ахмедова, И. Ю. Квятковская // Вестн. Астрахан. гос. техн. ун-та. Сер.: Управление, вычислительная техника и информатика. 2015. № 1. С. 124-130.
2. Крюков В. В. Информатизация университета на основе формирования интегрированной информационной среды / В. В. Крюков // Тр. Междунар. науч.-метод. конф. «ТЕЛЕМАТИКА-2001». СПб., 2001. С. 53-54.
3. OTL.•top://economy-ru.com/sistemyi-ekonomike-informatsionnyie/bezopasnost-ais-bankah-25324.html (дата обращения: 21.02.2016).
4. OTL.•top://rrc.ru/upIoad/checkpoint/anaIytic_reports/2015_SecurityReport_RUS_screen.pdf (дата обращения: 15.02.2016).
5. Об образовании: Федеральный закон № 273-ФЭ от 29.12.2012 // URL: https://www.consuItant.ru/ document/cons_doc_LAW_140174/ (дата обращения: 01.03.2016).
6. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности: ГОСТ Р ИСО/МЭК 15408-2-2013 // URL:http://docs.cntd.ru/document/1200105711 (дата обращения: 22.02.2016).
7. Меры защиты информации в государственных информационных системах. П.3.2: Методический документ. Утвержден ФСТЭК России 11 февраля 2014 г. // URL: https://www.consuItant.ru/document/cons_ doc_LAW_159975/ (дата обращения: 24.02.2016).
8. Об утверждении требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды: Приказ от 14 марта 2014 г. № 31 ФСТЭК // URL: https://www.consuItant.ru/document/cons_doc_LAW_165503/ (дата обращения: 24.02.2016).
9. Об утверждении требований о защите информации, содержащейся в информационных системах общего пользования: Приказ ФСТЭК России от 31 августа 2010 г. № 489 // URL: http://www.consuItant.ru/ document/cons_doc_LAW_158845/ (дата обращения: 27.02.2016).
10. Эфрон Б. Нетрадиционные методы многомерного статистического анализа / Б. Эфрон. М.: Финансы и статистика, 1988. 263 с.
Статья поступила в редакцию 17.03.2016
ИНФОРМАЦИЯ ОБ АВТОРАХ
Космачёва Ирина Михайловна - Россия, 414056, Астрахань; Астраханский государственный технический университет; канд. техн. наук, доцент; доцент кафедры «Информационная безопасность»; ikosmacheva@mail.ru.
Яковлева Екатерина Павловна - Россия, 414056, Астрахань; Астраханский государственный технический университет; студентка, специальность «Информационная безопасность автоматизированных систем»; 38233823k@gmail.com.
I. M. Kosmacheva, E. P. Yakovleva
SUBSYSTEM OF CONTROL OF ACCESS IN UNIVERSITY INFORMATION SYSTEMS
Abstract. The paper analyzes the parameters of the data processing and granting the rights of access to them at the educational institutions. The vulnerabilities in organization and control of granting the access are revealed. The model of formalization of control of the access rights of the users in accordance with their functional duties, including monitoring the use of the granted rights is presented. The notions as "sample of user's behavior" and "level of trust for user" are introduced. The main approaches and algorithms, the structure of data base for supplement development are described; they are the basis of designing the subsystem of access control, updating the system of information security.
Key words: educational institutions, information security, access control, audit, job description.
1. Akhmedova Kh. G., Kviatkovskaia I. Iu. Ispol'zovanie informatsionnykh tekhnologii dlia povysheniia universitetskogo obrazovaniia [Use of information technologies to improve the university education]. Vestnik Astrakhanskogo gosudarstvennogo tekhnicheskogo universiteta. Seriia: Upravlenie, vychislitel'naia tekhnika i informatika, 2015, no. 1, pp. 124-130.
2. Kriukov V. V. Informatizatsiia universiteta na osnove formirovaniia integrirovannoi informatsionnoi sredy [Information system of the university based on formation of the integrated information media]. Trudy Mezhdunarodnoi nauchno-metodicheskoi konferentsii «TELEMATIKA-2001». Saint-Petersburg, 2001. P. 53-54.
3. Available at: http://economy-ru.com/sistemyi-ekonomike-informatsionnyie/bezopasnost-ais-bankah-25324.html (accessed: 21.02.2016).
4. Available at: http://rrc.ru/upload/checkpoint/analytic_reports/2015_SecurityReport_RUS_screen.pdf
(accessed: 15.02.2016).
5. Ob obrazovanii: Federal'nyi zakon № 273-FZ ot 29.12.2012. Available at: https://www.consultant.ru/ document/cons_doc_LAW_140174/ (accessed: 01.03.2016).
6. Informatsionnaia tekhnologiia. Metody i sredstva obespecheniia bezopasnosti. Kriterii otsenki bezopas-nosti informatsionnykh tekhnologii. Chast' 2. Funktsional'nye komponenty bezopasnosti [Information technology. Methods and means of safety control. Criteria of assessment of information technology safety. Part 2. Functional elements of safety]. GOST R ISO/MEK 15408-2-2013. Available at: http://docs.cntd.ru/document/1200105711 (accessed: 22.02.2016).
7. Mery zashchity informatsii v gosudarstvennykh informatsionnykh sistemakh. P.3.2 [Measures of information security in state information systems]. Metodicheskii dokument. Utverzhden FSTEKRossii 11 fevralia 2014 g. Available at: https://www.consultant.ru/document/cons_doc_LAW_159975/ (accessed: 24.02.2016).
8. Ob utverzhdenii trebovanii k obespecheniiu zashchity informatsii v avtomatizirovannykh siste-makh upravleniia proizvodstvennymi i tekhnologicheskimi protsessami na kriticheski vazhnykh ob"ektakh, potent-sial'no opasnykh ob"ektakh, a takzhe ob"ektakh, predstavliaiushchikh povyshennuiu opasnost' dlia zhizni i zdorov'ia liudei i dlia okruzhaiushchei prirodnoi sredy [On establishment of the requirements to providing information security in automated systems of control of production and technological processes at the crucially important objects, potentially dangerous objects and the objects of extra high risks for human life and health and for the natural environment]. Prikaz ot 14 marta 2014 g. № 31 FSTEK. Available at: https://www.consultant.ru/ document/cons_doc_LAW_165503/(accessed: 24.02.2016).
9. Ob utverzhdenii trebovanii o zashchite informatsii, soderzhashcheisia v informatsionnykh sistemakh ob-shchego pol'zovaniia [On establishment of the requirements to information protection in the information systems of general usage]. Prikaz FSTEK Rossii ot 31 avgusta 2010 g. № 489. Available at: http://www.consultant.ru/document/cons_doc_LAW_158845/ (accessed: 27.02.2016).
10. Efron B. Netraditsionnye metody mnogomernogo statisticheskogo analiza [Conventional methods of multi-dimensional statistic analysis]. Moscow, Finansy i statistika Publ., 1988. 263 p.
Kosmachova Irina Mikhailovna - Russia, 414056, Astrakhan; Astrakhan State Technical University; Candidate of Technical Sciences, Assistant Professor; Assistant Professor of the Department "Information Security"; ikosmacheva@mail.ru.
Yakovleva Ekaterina Pavlovna - Russia, 414056, Astrakhan; Astrakhan State Technical University; Student, Specialty "Information Security of Automated Systems"; 38233823k@gmail.com.
REFERENCES
The article submitted to the editors 17.03.2016
INFORMATION ABOUT THE AUTHORS
