87
работникам предприятия возможность работы только с той информацией,
которая им нужна для реализации своих служебных обязанностей;
• Разделение клиентского и серверного оборудования, а также
привлечение обученного работе с системой опытного персонала;
• Доступность альтернативных средств выхода в Интернет или
наличие других способов отправки информации;
• Запись и фиксирование всех технических условий и их
утверждение со всеми основными участниками проекта;
• Обязательное утверждение проведенных изменений.
Факторами реализации риска персонала становится такие
обстоятельства, как:
• Нарушение режима ИБ – есть вариант утечки данных из-за
злоумышленных действий сотрудников и не желании взаимодействовать с
новой системой;
• Не отражен этап выхода их проекта представителей заказчика.
В противовес этому выступает:
• Реализация системы поощрений персонала заказчика,
применяющего систему;
• Прием на работу сотрудников при условии сохранения
коммерческой тайны, в противном случае – использование штрафных или
иных санкций;
• Грамотное планирование сроков проекта и момента
завершения работы над проектом со стороны исполнителя.
2.1.3 Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
Под защитой информации понимают комплекс организационных,
правовых и технических мер по предотвращению угроз информационной
безопасности и устранению их последствий.
88
Организация защиты информации в организации – это один из
важнейших моментов, который ни в коем случае нельзя упускать из вида.
Последствия будут очень серьезными, если произойдет утрата баз данных,
результатов аналитических исследований, исходных кодов, программных
продуктов. При плохой организации защиты информации это возможно,
что приведет к достаточно проблематичному дальнейшему ведению
бизнеса, а в определенных случаях невозможно вообще.
Задачи по защите информации возлагаются на службу
информационных технологий.
Далее необходимо разработать ряд нормативно-распорядительных
документов:
1. Концепция обеспечения информационной безопасности
организации.
Концепция определяет основные цели и задачи, а также общую
стратегию построения комплексной системы обеспечения
информационной безопасности, требования и базовые подходы к их
реализации, состав критичных информационных ресурсов и основные
принципы их защиты.
Содержание: термины и определения, общие положения, содержание
концепции, описание объекта защиты, основные принципы обеспечения
ИБ, организация работ по обеспечению ИБ, меры обеспечения ИБ,
распределение ответственности и порядок взаимодействия подразделений,
порядок категорирования защищаемой информации, модель нарушителя
безопасности, модель угроз безопасности, требования по обеспечению ИБ,
ответственность за нарушение ИБ, история изменений.
2. Правила работы пользователей в корпоративной сети
предприятия.
Настоящий документ определяет основные правила по обеспечению
информационной безопасности при работе пользователей в корпоративной
сети предприятия.
89
Содержание: термины и определения, общие положения, общие
требования безопасности, предъявляемые к пользователям корпоративной
сети, нецелевое использование средств обработки информации,
предупреждение распространения компьютерных вирусов, требования по
обеспечению безопасности при работе в сети Интернет и с электронной
почтой, ответственность за обеспечение ИБ.
3. Политика и регламент резервного копирования и
восстановления данных.
Настоящая политика определяет общие требования, основные
принципы и процедуры осуществления резервного копирования
информационных ресурсов предприятия. Она также устанавливает
ответственность должностных лиц службы безопасности за выполнение и
контроль этих процедур.
Содержание: термины и определения, общие сведения, основные
положения, требования к системе резервного копирования, требования по
копированию и восстановлению различных категорий данных,
обеспечение безопасности резервных копий, контроль процедур
резервного копирования, регламент резервного копирования,
ответственность
4. План восстановления работоспособности информационной
системы после аварии.
Настоящий план определяет основные меры, методы и средства
сохранения работоспособности информационной системы предприятия
при возникновении различных аварийных ситуаций, а также порядок работ
по восстановлению процессов обработки информации в случае нарушения
работоспособности информационной системы и ее основных компонентов.
Кроме того, план описывает действия различных категорий персонала
информационной системы в аварийных ситуациях по ликвидации их
последствий и минимизации наносимого ущерба.
90
Содержание: введение, основные положения, рабочие группы по
ликвидации последствий аварии, технические условия для серверных
помещений, определение приоритетов для прикладных систем, средства
обеспечения непрерывной работы и восстановления, резервный
вычислительный центр, тестирование плана, сопровождение плана.
5. Комплексный план защиты информационных ресурсов
предприятия от несанкционированного доступа.
Назначением плана является документирование согласованных
решений, а также разработка и подготовка достаточного набора процедур
для предотвращения попыток НСД, реагирования на попытки НСД и
ликвидации последствий НСД.
План определяет мероприятия, которые необходимо проводить на
протяжении всего периода эксплуатации системы в целях предотвращения
попыток НСД и своевременного их обнаружения. План, также, определяет
методы и стратегии реагирования на попытки НСД и процедуры
ликвидации последствий НСД.
Содержание: организация реагирования и предотвращения попыток
НСД, предупреждение попыток НСД, выявление попыток НСД,
реагирование на попытки НСД, ликвидация последствий НСД.
6. Политика обеспечения безопасности удаленного доступа к
ресурсам корпоративной сети предприятия.
Под удаленным доступом к ресурсам корпоративной сети
предприятия понимаются все виды доступа, осуществляемые по внешним
каналам связи и с использованием устройств доступа, расположенных за
пределами охраняемой зоны и не контролируемых предприятием.
Основными видами удаленного доступа являются:
• Доступ к корпоративной сети по коммутируемым каналам
связи с использованием модемов и телефонной сети;
91
• Доступ мобильных пользователей к корпоративной сети с
использованием VPN каналов связи типа «компьютер-сеть» через сеть
Интернет;
• Подключений удаленных подразделений предприятия к
корпоративной сети с использованием VPN каналов типа сеть-сеть через
сеть Интернет.
Содержание: термины и определения, общие положения, требования
по обеспечению безопасности удаленного доступа, контроль,
ответственность.
7. Политика обеспечения безопасности при взаимодействии с
сетью Интернет.
Настоящая политика определяет:
• ответственность службы безопасности предприятия за
обеспечение ИБ при подключении различных участков корпоративной
сети к сети Интернет;
• требования к конфигурации средств защиты, включая
маршрутизаторы и МЭ;
• требования к программным системам и оборудованию,
размещаемым в демилитаризованной зоне корпоративной сети;
• порядок осуществления контроля защищенности внешнего
периметра корпоративной сети.
Содержание: термины и определения, общие сведения, назначение,
область действия, основные положения, контроль доступа пользователей к
ресурсам сети Интернет, контроль доступа пользователей сети Интернет к
ресурсам корпоративной сети, требования к настройке внешних
маршрутизаторов, требования к настройке систем, размещаемых в
демилитаризованной зоне, ответственность.
8. Антивирусная политика и инструкция по защите от
компьютерных вирусов.
92
Настоящий документ определяется систему мер, предпринимаемых
службой безопасности предприятия, направленных на защиту
компьютеров, входящих в состав корпоративной сети предприятия от
компьютерных вирусов, троянских программ и прочих деструктивных
программных кодов, а также устанавливает требования к конфигурации
комплексной системы антивирусной защиты корпоративной сети и
мероприятия, обеспечивающие поддержание этой системы в
работоспособном состоянии.
Содержание: общие сведения, основные положения, структура и
состав средств антивирусной защиты, требования к конфигурации средств
антивирусной защиты, контроль функционирования системы
антивирусной защиты, ответственность.
9. Политика выбора и использования паролей и ключей.
Настоящая политика устанавливает требования к порядку выбора,
хранения, использования, периодичности смены и другим вопросам,
связанным с применением механизмов парольной аутентификации в
информационных системах предприятия.
Содержание: термины и определения, общие сведения, основные
положения, правила выбора паролей, обеспечение конфиденциальности
паролей, контроль, ответственность.
10. Правила предоставления доступа к ресурсам корпоративной
сети.
Правила определяют:
• порядок предоставления сотрудникам доступа к ресурсам
корпоративной сети предприятия;
• порядок отмены доступа;
• порядок изменения прав доступа;
• требования, предъявляемые к сотрудникам предприятия в
связи с предоставлением им доступа к ресурсам корпоративной сети;
• порядок осуществления контроля доступа;
93
• ответственность сотрудников предприятия.
Содержание: термины и определения, общие сведения, назначение,
область действия, основные положения, порядок предоставления доступа к
ресурсам корпоративной сети, порядок отмены доступа к ресурсам
корпоративной сети, порядок изменения прав доступа к ресурсам
корпоративной сети, контроль, ответственность.
11. Политика аудита информационной безопасности.
Политика аудита информационной безопасности определяет:
• нормативную базу для деятельности внутренних и внешних
аудиторов;
• полномочия внешних и внутренних аудиторов;
• ответственность аудиторов за обеспечение ИБ и нормального
режима функционирования информационных систем предприятия;
• порядок и условия проведения аудита ИБ и анализа рисков.
Процедура внутреннего аудита информационной безопасности
описывает процесс сбора и анализа информации, необходимой для оценки
уровня информационной безопасности предприятия при проведении
внутреннего аудита. Данная процедура позволяет оценить адекватность
реализованных в информационных системах механизмов безопасности,
соответствие системы обеспечения ИБ бизнес требованиям, требованиям
политики безопасности и законодательства.
Содержание: термины и определения, общие сведения, основные
положения, порядок и условия проведения аудита на предприятии, анализ
и управление рисками, ответственность.
12. Соглашение о соблюдении режима информационной
безопасности, заключаемое со сторонними организациями.
Настоящее соглашение заключается с целью обеспечения
безопасности информационных ресурсов предприятия, доступ к которым
предоставляется партнеру на период действия соглашения. По настоящему
соглашению партнер обязуется сохранять в тайне и не разглашать
94
информацию, составляющую служебную и/или коммерческую тайну
предприятия, а также обеспечить выполнение требований по защите
информации от НСД, компьютерных вирусов и прочих угроз, связанных с
нарушением доступности или целостности информационных ресурсов
предприятия.
Содержание: общие положения, предмет соглашения, права и
обязанности сторон, хранение документов, ответственность сторон, срок
действия соглашения, разрешение споров.
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Информационная модель представляет собой схему движения
входных, промежуточных и результативных потоков и функций
предметной области. Рисунок информационной модели приведен на
рисунке 2.4.
ИС
С «Тип ГП»
С «ГП»
С «Единица
Измерения»
С «Тип пользователя»
С «Контрагент»
Т Движение ГП
С «Единица
Измерения»*
С «Сотрудник»
С «Тип ГП»
Учет
брендов
Учет
сотрудник
ов
Список
сотрудников
Учет
упаковки
Список
контрагенто
в
Учет
движения
ГП
Сотрудник
С «Тип пользователя»
Сотрудник
Список
упаковки
Учет
контраген
тов
Информация о
перемещаемом ГП
Информация о
перемещаемом
ГП
Отчет «ТТН» на
поставку
Отчет «ТТН» на
поставку
Отчет «Приходная
накладная»
Отчет
«Приходная
накладная»
Отчет «Реестр ГП»
Отчет «Реестр
ГП»
С «ГП»
С «Контрагент»
С «Вид упаковки»
С «Вид упаковки»
С «Тип движения ГП»
С «Сотрудник»
С «Тип движения ГП»
Т Движение ГП*
Учет
единиц
измерения
Список
единиц
измерения
Т Движение
Т Движение*
Информация о
поступающем ГП
Информация о
поступающем
ГП
Информация о
хранимом ГП
Информация о
хранимом ГП
Информация об
отправляемом ГП
Информация об
отправляемом
ГП
Рисунок 2.4 Информационная модель системы учета готовой продукции (ГП)
95
Заполнение справочников происходит при первом запуске системы,
далее они только редактируются. При использовании основных
справочников происходит учет движения готовой продукции, в ходе
которого записывается информация в таблицу Движение. Отчетные
документы формируется в виде экранных форм на основании выбора форм
сортировки и могут быть выведены на печать или экспортированы в
формат *.xls.
2.2.2 Характеристика нормативно-справочной, входной и
оперативной информации
Под входной информацией понимается вся информация,
необходимая для решения задачи и расположенная на различных
носителях: первичных документах, машинных носителях, в памяти
персонального компьютера. С этой целью составляются перечень входной
информации и состав реквизитов каждого вида входной информации,
расположение реквизитов входной информации, описание полей
(реквизитов) входных документов.
Значительное место в автоматизированной системе учета занимает
нормативно-справочная информация. Нормативно-справочная информация
― это условно‒постоянная составляющая общей корпоративной
информации, она используется при регламентации деятельности
предприятия, обеспечивая целостность данных, сопровождающих бизнес-
процессы предприятия.
По назначению нормативно-справочная информация используется
для:
идентификации единиц информации;
информационно-поисковых целей;
формирования характеристик объектов учета;
обеспечения информационных взаимосвязей и расчетов.
96