32
5. неавторизованная модификация информации в базе данных;
6. неавторизованное удаление информации в базе данных.
Законодательный уровень защиты информации
Законодательный уровень является важнейшим для обеспечения
информационной безопасности. Большинство людей не совершают
противоправных действий не потому, что это технически невозможно, а
потому, что это осуждается и/или наказывается обществом, потому, что так
поступать не принято.
На данном уровне выделяются следующие основные нормативные
документы РФ, направленные на защиту персональных данных:
1. конституция РФ;
2. трудовой кодекс РФ (ч.3 ст.14);
3. федеральный закон от 27.07.2006 N 152-ФЗ (с редакцией от
04.06.2014) "О персональных данных";
4. указ Президента РФ «О перечне сведений конфиденциального
характера».
Административный уровень защиты информации
Необходимо отметить, что на административном уровне защиты
информации данного предприятия разработана и постоянно дорабатывается
политика безопасности (совокупность документированных решений,
принимаемых руководством организации и направленных на защиту
информации и ассоциированных с ней ресурсов).
Политику безопасности можно условно разбить на три уровня. К
первому уровню относится документ, определяющий общие положения по
информационной безопасности, действующей на предприятии.
Ко второму уровню относится положение по предприятию, о защите
персональных данных работников.
К третьему уровню относятся документы (стандарты предприятия,
организационно-распорядительные документы), регламентирующие
конкретные аспекты информационной безопасности.
33
Основные требования этих документов, касающиеся защиты ПК
пользователей:
1. закрыть доступ к внешним информационным ресурсам, таким как,
интернет;
2. наличие программы антивируса – Kaspersky Endpoint Security;
3. обновлённые антивирусные базы;
4. проверка на вирусы должна проводиться не меньше одного раза в
две недели;
5. все доступные обновления для операционной системы должны
быть установлены, так как среди них большое количество обновлений для
системы безопасности офисных программ и самой операционной системы;
6. пароль пользователя должен соответствовать минимальным
требованиям безопасности, заданным в службе управления каталогом Active
Directory.
7. разграничить права доступа всех сотрудников на сетевые ресурсы
в соответствии с их служебной деятельности с помощью средств управления
каталогом Active Directory;
8. запретить подключение внешних устройств к персональному
компьютеру;
9. запретить запуск программ, не относящихся к производственной
деятельности;
10. выполнять мониторинг активности программного обеспечения;
11. выполнять постоянный мониторинг сетевой инфраструктуры;
12. осуществлять контроль над работой пользователей на ПК;
13. выполнять постоянное резервное копирование информации,
имеющей ценность для предприятия.
Процедурный уровень защиты информации. В деле информационной
безопасности, ключевую роль играют не технические средства, а люди, так как
именно люди формируют режим информационной безопасности, и они же
оказываются главной угрозой, поэтому "человеческий фактор" заслуживает
34
особого внимания. На процедурном уровне выделяются следующие классы
мер: управление персоналом, физическая защита.
Управление персоналом. На предприятии большое внимание
уделяется подбору персонала, чтобы случайно не принять на работу человека
с наркотическими пристрастиями, психическими заболеваниями или что ещё
хуже, со всеми перечисленными недостатками.
Для того, что избавить предприятие от таких сотрудников, каждый
кандидат, проходит медицинскую комиссию. Также кандидат, должен иметь
профильное образование, связанное с той должностью, на которую
планируется его приём.
После того, как кандидат переходит в статус сотрудника предприятия,
он отправляется на первичные инструктажи по должностным обязанностям,
информационной безопасности и т.д. За каждый вид инструктажа сотрудник
расписывается в соответствующих журналах.
После успешного прохождения всех процедур вновь принятому
сотруднику выделяется системная учётная запись (с соответствующими
привилегиями). При выдаче системной записи производится специальный
инструктаж, связанный с правилами её использования и возможными
наказаниями за несоблюдение этих правил. Ознакомившись с предписаниями,
сотрудник расписывается в соответствующем журнале. После того, как
роспись получена, имя, и пароль учётной записи передаётся пользователю
персонального компьютера.
Необходимо отметить, что управление учётными записями,
производится в оперативном режиме. Это значит, что при увольнении
сотрудника учётная запись будет немедленно заблокирована, при смене
должностных обязанностей привилегии будут изменены.
Физическая защита.
1. На предприятии организован пропускной режим, целью которого
является недопущение бесконтрольного прохода людей и проезда транспорта
на территорию предприятия. Единственным документом, дающим право
35
прохода, проезда и пребывания на территории предприятия, является пропуск.
2. По всему периметру территории ведётся видеонаблюдение.
3. Серверное оборудование, в частности сервер баз данных,
обслуживающий запросы пользователей, связанные с обработкой
персональных данных, находится в закрытом помещении, доступ к которому
разрешён строго определённому кругу лиц, посредствам специальных
пропусков.
4. Для защиты данных от считывания, устройствами, использующих
электромагнитные средства перехвата на линиях связи между конечными
устройствами используются специальные экранированные кабели.
5. Персональные данные не хранятся только в электронном виде,
поэтому на предприятии для хранения бумажных версий документов,
используются несгораемые шкафы (сейфы), ключи от которых находятся у
ответственного сотрудника.
6. Для обеспечения физической защиты от пожара, каждое
помещение снабжено противопожарными датчиками. Тревожные сигналы с
таких датчиков передаются на центральный пульт ответственного за
противопожарные меры, для принятия им соответствующих действий.
Программно-аппаратный уровень защиты информации.
Программно-аппаратный уровень, направленный на контроль компьютерных
сущностей - оборудования, программ и/или данных, образует последний и
самый важный рубеж информационной безопасности. На данный момент
времени для защиты персональных данных на базе программно-аппаратных
средств реализован ряд мер, которые можно разделить на виды: превентивные,
меры обнаружения нарушений и выявления нарушителей, меры
восстановления режима безопасности.
Превентивные меры:
1. идентификация и аутентификация пользователей операционной
системой;
2. идентификация и аутентификация пользователей
36
информационной системой, обрабатывающей персональные данные;
3. разграничение доступа к функциональным возможностям
информационной системы в соответствии с функциональными обязанностями
пользователей;
4. разграничение прав доступа пользователей на сетевые диски,
каталоги и файлы, размещающиеся на них, в соответствии с
функциональными обязанностями пользователей;
5. ограничение на доступ к системным каталогам, файлам и
средствам настройки персонального компьютера;
6. ограничение или полное отсутствие доступа к сети Интернет, в
зависимости от функциональных обязанностей пользователей;
7. запрет на подключение внешних устройств к персональному
компьютеру;
8. запрет на запуск программ, не относящихся к списку разрешённых
на данном предприятии;
9. постоянное функционирование программы, направленной на
борьбу с вирусами, на всех конечных устройствах локальной вычислительной
сети;
10. постоянное обновление антивирусных баз данных;
11. постоянное обновление операционной системы и офисных
приложений. Большое количество таких обновлений содержит обновления
для систем безопасности каких-либо компонентов.
Меры обнаружения нарушений и выявления нарушителей:
1. протоколирование и аудит, выполняемый операционной
системой;
2. протоколирование действий пользователей, производимых над
персональными данными в информационной системе;
3. мониторинг активности программного обеспечения;
4. мониторинг сетевой инфраструктуры;
5. мониторинг активности пользователей.
37
Меры восстановления режима безопасности:
1. обеспечение отказоустойчивости вычислительных средств;
2. постоянное резервное копирование информации.
38
1.3.Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1.Анализ существующих разработок для автоматизации задачи
Несмотря на то, что средство программной реализации определено
руководителем ОАСУП, в тексте работы представлены результаты сравнения
СУБД Microsoft Visual FoxPro 9.0 и Microsoft SQL Server 2014.
Для выбора решения по автоматизации выбранного комплекса задач
рассмотрим альтернативы, которые есть на рынке информационных услуг.
В настоящее время на рынке программных продуктов существует масса
различных программ для решения данной задач, например:
«Босс-Кадровик»,
«Кадры»,
«Галактика ERP »,
«Парус»,
«1С:Зарплата и Управление Персоналом 8.0» и т.д.
Представим краткое описание продуктов:
Основное назначение системы БОСС-Кадровик – учет и управление
персоналом, ведение организационной и штатной структуры предприятия,
учет рабочего времени, расчет заработной платы.
В состав системы БОСС-Кадровик включены следующие
функциональные модули:
Штатное расписание.
Учет кадров.
Табельный учет.
Расчет заработной платы.
Учет для Пенсионного фонда России.
Администратор системы.
Таким образом, программный продукт относится к классу систем
39
управления персоналом (Human Resource Systems) и решает задачу
централизованного управления человеческими ресурсами предприятия,
включающую в себя:
1. Планирование структурной организации, штатных расписаний и
кадровой политики.
2. Оперативный учет движения кадров.
3. Ведение административного документооборота по персоналу и учету
труда.
4. Планирование фондов рабочего времени и учет их использования.
5. Учет труда и расчет заработной платы.
6. Учет и разнесение затрат на оплату труда персонала в общей
номенклатуре затрат предприятия.
7. Предоставление статистической отчетности по труду и налоговой
отчетности в государственные органы.
8. Подбор персонала на руководящие должности.
9. Ведение кадрового резерва и мобильного персонала.
10. Аттестация и повышение квалификации работников.
11. Поиск специалистов на рынке труда.
12. Ведение архивов без ограничения срока давности и многое другое.
Данная система легко настраивается и адаптируется, ориентация на
отечественную специфику учета и управления, конкурентоспособная
стоимость, открытость, масштабируемость и высокая производительность,
информационная безопасность и надежность.
Решение «БОСС-Кадровик» предназначено для установки на рабочих
местах специалистов различных служб предприятия:
1. Отдела труда и заработной платы (или др. отделов, выполняющих
функции ОТиЗ).
2. Планово-экономического отдела.
3. Отдела кадров (или дирекции по работе с персоналом, включая все
40
секторы, в т.ч. военно-учетный стол).
4. Табельного бюро (или у табельщиков подразделений).
5. Расчетной группы бухгалтерии.
6. Руководства подразделений и предприятия в целом.
Технические характеристики (платформа, архитектура, СУБД, ОС, ПК,
серверы и т.п.):
Клиент-сервер, СУБД Oracle, программные платформы и операционные
системы, на которых работает СУБД Oracle.
Система «КАДРЫ» автоматизирует и оптимизирует кадровое
делопроизводство:
ведение штатного расписания;
ведение личных карточек;
оформление командировок;
оформление отпуска;
табельный учет рабочего времени;
формирование и ведение приказов по личному составу и др.
Система «КАДРЫ», обеспечивающая кадровое делопроизводство,
успешно используется в ведомственных структурах с подчиненными и
территориально распределенными организациями, позволяя обрабатывать
кадровую информацию во всех этих организациях.
«КАДРЫ» (система кадрового делопроизводства) отличается
следующими преимуществами:
реализована на базе новейших технологий;
гибко настраивается;
система успешно используется как в небольших организациях, так и в
крупных компаниях (т.е. не зависит от количества кадров предприятия).
По данным CNews Analytics (март 2006 г.) система «КАДРЫ» вошла в
Топ-10 наиболее востребованных информационных систем управления
персоналом в федеральных органах исполнительной власти РФ.
41
ЭОС следует требованиям рынка и учитывает пожелания заказчика в
том, как должны быть организованы кадровое управление и кадровое
делопроизводство.
Утилита интеграции системы «КАДРЫ - ПРЕДПРИЯТИЕ» с 1С:
«Зарплата и Кадры» 7.7. Данный программный продукт создан для решения
вспомогательных задач ведения кадрового делопроизводства. Автор
разработки - компания «Корпоративные системы» – региональный
представитель ЭОС в Западной и Восточной Сибири.