26
Рисунок 9 - Характеристика основной деятельности компании
ОАО «Омега»
Компания ОАО «Омега» в своей работе использует принцип
коммерческого предприятия, который сохраняет имущественные интересы
людей, связанные с вероятными рисками потери либо повреждения их
имущества, а также интересы связанные с рисками утраты жизни или
нанесением вреда здоровью застрахованных граждан. Иными словами,
страховая компания принимает на себя вероятные риски и
гарантирантированно компенсирует финансовые убытки при наступлении
неблагоприятных событий, которые влекут за собой урон имущества, здоровья
и т.п.
ОАО «Омега» компенсирует убытки своим клиентам потому, что
страховые взносы оплачивает большая численность человек, а убытки
выплачивают лишь незначительному числу вкладчиков либо застрахованным
M - Бизнес-процессы управления
B - Основные бизнес-процессы
S - Обеспечивающие бизнес-процессы
TITLE:NODE: NO.:Бизнес-процессы верхнего уровня
Управление
финансами
Стратегическое
управление
Управление
маркетингом
Управление
бизнес-
процессам
Управление
персоналом
Управление
рисками
Разработка
страхового
продукта
Продажа
страховых
услуг физлицам
Оказание
страховых услуг
физлицам
Продажа
страховых услуг
юрлицам
Обеспечение
безопасности
Административно
-хозяйственное
обеспечение
Юридическое
обеспечение
Оказание
страховых услуг
юрлицам
IT-обеспечение и
связь
27
клиентов, но выплаты по страховым случаях практически всегда гораздо
больше превышают размер страховых взносов. Значительная часть
полученных от клиентов средств расходуется на страховые выплаты
компенсации ущерба (возмещение потерь), а меньшая доля перекрывает
затраты по ведению дела и создает доход СК.
Реализация страховой продукции компании ОАО «Омега» представляет
собой очередность действий, которые необходимо выполнять, чтобы достичь
поставленную цель компании - получение дохода от осуществления страховых
услуг. Она состоит из таких основных этапов:
- подготовительная деятельность;
- реализация страхового продукта;
- обслуживание после реализации и предложение возможного
дополнительного страхового покрытия.
На этапе подготовительной деятельности необходимо:
- выявить возможных страхователей;
- определить имеющиеся и потенциальные страховые потребности у
вероятных страхователей;
- определиться с каналом самого эффективного доступа к клиенту;
Реализация страхового продукта состоит из:
- необходимости контакт с возможным клиентом;
- убеждения клиента в необходимости заключения страхового покрытия;
- изучения страховых рисков;
- оформления полиса страхования, когда клиент дал согласие на покупку
страхового покрытия.
Обслуживание после реализации страхового продукта содержит в себе:
- обмен информацией со страхователем по поводу уже приобретенного
страхового полиса;
- расследование и соглашение страховых случаев, учитывая при этом
оценку нанесенного ущерба объекту страхования;
- обеспечение консультационных, а также юридических услуг клиенту;
28
- помощь в ликвидации результатов страхового события.
Дальнейшим и логическим сотрудничеством после продажного
обслуживания клиента можно считать предложение СК о предоставлении
дополнительных страховых услугах данному клиенту. На самом деле продать
страховой полис клиенту, который уже имеет договора с компанией ОАО
«Омега» гораздо эффективнее и проще, чем привлекать в компанию нового
клиента.
На данном этапе расходы компании ОАО «Омега» при продаже второго
полиса составляют в 4 раза меньше, нежели при продаже первого. Кроме всего,
с увеличением количества договоров, которыми располагает клиент, во много
раз снижается возможность его выхода из компании.
Реализация второго либо третьего страхового полиса содержит в себе
такие задачи:
- изучить потребности клиента в сфере страхования на базе
дополнительных данных, полученных от него на этапе обмена информацией;
- установить с клиентом контакт по вопросу заключения
дополнительного полиса;
- убедить клиента в обязательном приобретении дополнительных
страховых услуг;
- изучить страховой риск;
- оформить договор страхования сразу после того, как клиент согласился
приобрести страховое покрытие.
Самое слабое звено процесса реализации страховых услуг, требующим
наибольших затраченных усилий, — это организация связи с клиентом,
демонстрация ему находящихся в его деятельности рисков (опасностей),
убеждение пользователя в обязательном приобретения страхового полиса для
своих рисков. Этот процесс для страхователей-физических лиц имеет
значительное отличие от подобной процедуры для организаций и
предприятий.
29
1.2.3. Обоснование необходимости использования вычислительной
техники для решения задачи
На данный момент в компании ОАО «Омега» автоматизация процессов,
которые связанные работой секретаря и документооборота применяется
бессистемно. Такая постановка деятельности не дает возможность принимать
оперативные решения на изменения внешних факторов, для заинтересованных
лиц не предоставляет информацию в наглядном виде. Внедрение
автоматизации процессов для решения разнообразных задач в ОАО «Омега»
позволит уменьшить административные накладные расходы, увеличить
производительность труда, добиться повышения эффективности управления,
рационально вести дела.
В данный момент в страховой компании, ПО, которое автоматизирует
основные процессы учета, отсутствует, поэтому весь учет ведётся в
специализированном электронном журнале, реализованном в Excel, вручную.
Чтобы производить учет документов и клиентов, консультантов
требуется посмотреть весь журнал Excel. Эта процедура требует особого
внимания и занимает довольно длительный период.
При таком подходе могут возникать погрешности, связанных, в первую
очередь, с человеческим фактором, потому, что секретарь может попросту не
заметить какою-либо важную информацию, что повлечет за собой
формирование неправильной отчетности.
Существующий процесс имеет следующие недостатки:
- Сложность мониторинга деятельности конторы;
- Сложность в составлении отчетной документации;
- Возможность утраты информации из-за возможных ошибок
консультанта;
- Ручная обработка информации:
- Снижение эффективности в работе операторов;
- Трудоемкость в оформлении документов и отчетности при
необходимости работать с большими размерами данных;
30
- Отсутствие единого упорядоченного архива истории взаимоотношения
с клиентами;
- Трудоёмкость проведения взаиморасчётов с клиентами.
Применение вычислительной техники для оптимизации процесса
обработки информации будет эффективным потому, что большая часть
информации, участвующей в нем, поддается формализации. Внедрение ЭВМ
позволит гораздо быстрее проводить процессы составления разных отчётов, и
повысить эффективность работы секретаря и страховой компании в целом.
1.2.4. Анализ системы обеспечения информационной безопасности и
защиты информации
Разрабатывать систему безопасности необходимо начать с выполнения
на объекте таких аналитических работ: исследования объекта, обнаружения и
анализа уязвимостей, построение модели злоумышленника и подбора
контрмер (систем и средств безопасности). С целью определения
совокупности мер и разработки технических предложений, связанных с
организацией охраны объекта, учитывая типовые решения, которые
обеспечивают необходимый уровень безопасности материальных и прочих
ценностей, выполняется исследование объекта.
Выделим характеристики применения ресурсов информации [7]:
- в информационных системах;
- в удалённых объектах информации;
- в служебных филиалах, автоматизированные задачи которых решаются
в их же интересах;
Степень конфиденциальности считается важнейшим
характеристическим показателем ОИ.
Распределение информационных активов в соответствии с категориями
считается весьма нужным компонентом построения работы по соблюдению
информационной безопасности предприятия, задачами которого считаются
31
проектирование нормативно-методического компонента для многостороннего
подхода к защите ресурсов компьютерной сети на предприятии [8].
Конфиденциальной информацией считаются [9]:
информация о жизнедеятельности предприятия;
информация о клиентах предприятия;
информация о системе безопасности предприятия;
переговоры с клиентами;
служебные данные об экономическом положении предприятия.
В таблице 2 приводятся активы, которые имеют наибольшую ценность
и по этой причине избраны как объект защиты информации.
Таблица 2
Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
Финансовые отчёты предприятия
5
Индивидуальные данные сотрудников
5
Система обеспечения безопасности
предприятия
5
Сведения о схемах расположения систем
безопасности
4
Маркетинговые исследования рынка
перевозок
3
Внутренняя бухгалтерская документация
3
Информация о достигнутых
договорённостях и соглашениях
3
Уязвимости системы информации могут определяться некоторыми
методами, которые описать может сотрудник предприятия, исходя из
собственного опыта. Также, можно обратиться за помощью к сторонним
экспертам для проведения технологического аудита информационной
системы и обнаружения всех уязвимостей [9].
На рассматриваемом предприятии оценка уязвимостей активов
осуществляется в соответствии с требованиями ГОСТ Р ИСО/МЭК ТО 13335-
3-2007 «Методы и средства обеспечения безопасности. Часть 3. Методы
менеджмента безопасности информационных технологий» на базе
использования общего подхода. В процессе этого используются такие
32
критерии оценки убытка от утраты конфиденциальности, доступности или
целостности активов:
нарушение подзаконных актов и/или закона;
снижение эффективности бизнеса;
понижение престижа предприятия;
нарушение безопасности персональной информации;
необеспечение персональной безопасности;
нарушение безопасности коммерческой или государственной тайны;
негативный эффект с позиции обеспечения правопорядка;
нарушение общественного порядка;
нарушение деловых сделок;
финансовые потери;
угроза охране окружающей среды.
Итоги оценки уязвимостей составляются как список, в котором напротив
каждой из уязвимостей приведена назначенная ей оценка риска ИБ, оценка
стоимости актива, вероятности осуществления угроз [10]
Итоги оценки уязвимости активов приводятся в приложении В.
Самыми существенными источниками угроз безопасности информации
на рассматриваемом предприятии являются:
угрозы утечки информации посредством технических каналов;
угрозы по каналам утечки вещественной информации;
угрозы несанкционированного доступа к информации,
обрабатываемой в ЛВС.
Угрозы утечки информации посредством технических каналов состоят
из:
угрозы утечки видовой информации;
угрозы утечки акустической информации;
угрозы утечки информации посредством канала ПЭМИН.
33
Основными угрозами безопасности информации для предприятия
считаются:
нарушение работы элементов информационной системы, нарушение
технологических процессов, ограничения доступа к информации,
невозможность решать задачи своевременно;
нарушение безопасности информации, являющейся коммерческой,
государственной или служебной тайной, а также персональной информации;
нарушение программных и прочих ресурсов, целостности
информации, а также подделка документов. [11]
На рассматриваемом предприятии уже применяются средства по
инженерно-технической защите, например, система охранной сигнализации.
Также к инженерно-техническим мерам относятся система контроля и
управления доступом.
Предлагается способ выполнения сравнения средств защиты
информации (СЗИ) от несанкционированного доступа (НСД), который
основан на разрешении оптимизационной задачи. С применением данного
метода осуществляется анализ представленных на отечественном рынке
аппаратно-программных и программных комплексов, которые
сертифицированы ФСБ и ФСТЭК, являющихся основой интегрированных и
комплексных СЗИ.
Выбор СЗИ от незаконного доступа может основываться на таких
требованиях к: эксплуатационным характеристикам, составу параметров,
параметрам производства, сопровождения изделий. Ранее были
расшифрованы требования к характеристикам и составу приборных средств
защиты информации. Это позволяет рассчитать перечень объектов, которые
используются в СЗИ, взаимосвязь между узлами и разработать требования к
выполнению [27,29].
1. СЗИ должны давать выполнение основных процедур до полной
загрузки ОС, т.е. на техническом уровне. В этом случае должен
осуществляться контроль как синтез данных, файлов и системных областей,
34
устойчивых к воздействиям. Создание средств контроля должно
обеспечиваться развитие доверенной среды и поддержка защищенности
компьютерной среды.
2. Аттестованное средство защиты обязано блокировать проблемы
защиты в сетях, базирующихся на самых популярных ОС. Работа в таких
средах может основываться операционной автономности программных и
аппаратных средств защиты информации.
3. Правила разделения доступа к оборудованию ИС должны обеспечить
возможность описания любой политики безопасности. И система защиты
информации не должна создавать препятствия для потребителей — не
лимитировать возможностей, предоставляемых ОС, быть понятной для
легального абонента, проверенного защитным аппаратом.
4. В сетевых альтернативах обязательным есть наличие систем
центрального управления безопасностью (СЦУБ), в т. ч. в online-режиме.
Оборудование аутентификации должны обеспечивать законность технических
средств.
5. Система защиты информации должна обладать сертификатом
категории не ниже 1В, и производиться на основании лицензии.
Компьютерная безопасность представляет собой ключевой компонент
защиты всякой информационной системы и в значительной степени
обуславливает ее производительность в целом. Проблемы защиты
приложений (в некоторых случаях подразумевают информационные
технологии) считаются вторичными, имеется смысл рассматривать их в
качестве дополнительной возможности по защите информационной системы.
Особенную роль в компьютерной безопасности приобретает защита
информации от НСД, противодействие хищению, искажение и уничтожение
данных, обрабатываемых и хранящихся на компьютере. Исключительная
важность и приоритетность эффективного решения такой задачи определяют
широкое практическое применение СЗИ от несанкционированного доступа и,
как результат, увеличение их номенклатуры на рынке СЗИ. Учитывая то, что
35
средства по защите информации от НСД, в основном, имеют различные
функциональные возможности, у потребителя возникает проблема в выборе
самого оптимального решения. В связи с ежегодным увеличением объемов
информационных потоков, которые обрабатываются информационными
системами, и с учетом превалирующего положения в них конфиденциальной
информации, актуальность этой задачи в настоящее время сомнений не
вызывает.
В данном пункте работы приводится перечень сертифицированных ФСБ
и ФСТЭК программно-аппаратных и аппаратных СЗИ от
несанкционированного доступа, предлагается метод выполнения
сравнительного анализа таких средств, который основан на математическом
аппарате. Помимо этого непосредственно будет представлен сравнительный
анализ с применением выработанных критериев, а также его итоги.
СЗИ от несанкционированного доступа представляют собой базовый и
обязательный уровень защиты во множестве ситуаций. К примеру,
применение СЗИ от несанкционированного доступа необходимо в процессе
создания автоматизированных систем, которые подлежат аттестации согласно
запросам безопасности информации, а также в процессе защиты
информационных систем, работающих со сведениями, персональными
данными, которые составляют государственную тайну и др. Современный
отечественный рынок средств по защите информации от НСД представлен
всевозможными системами и комплексами, которые согласно своему
выполнению можно разделить на программно-аппаратные и программные, а
согласно сфере использования — на средства, предназначенные для защиты
конфиденциальной информации и персональных данных (классы
защищенности 1Д, 1Г) и средства, предназначенные для защиты
конфиденциальной информации высокой степени и государственной тайны
(классы защищенности 1В, 1Б, 1А).
На сегодняшний день отечественными разработчиками предлагаются
некоторые программные средства, сертифицированные ФСБ и ФСТЭК (быв.