28
1.2.4 Анализ системы обеспечения информационной безопасности и защиты
информации
Информационная безопасность – это комплекс организационно-
технических мероприятий, обеспечивающих целостность данных и
конфиденциальность информации в сочетании с ее доступностью для всех
авторизованных пользователей.
Обеспечение информационной безопасности и защиты информации на
уровнях:
Программный – Microsoft Windows Server 2018R2, Active Directory:
1. права доступа (к операционной системе Windows Vista, Windows
Server, Терминальный доступ Windows Server);
2. права пользователя системы (разграничены права доступа
пользователей 1С Бухгалтерия, файловый сервер);
3. парольная защита информационных систем;
4. ведение логов и так далее (ведется контроль логов, Windows Server
пользователи, контроль трафика интернет, контроль почты).
Аппаратный – бекапы (резервное копирование) серверов.
На предприятии используется следующие способы обеспечения
безопасности:
Каждый пользователь должен проходить процедуру аутентификации
при начале работы с компьютером.
2. Компьютер пользователя защищён от вирусных атак антивирусом
Kaspersky Endpoint Security for Business.
3. Сервер компании защищён антивирусом.
4. ЛВС защищена от внешних угроз брандмауэром – Kerio WinRoute
Firewall, который установлен на сервере организации.
В описываемой компании оценка рисков выполняется руководителем
ИТ-отдела в купе с гендиректором, тех директором и персоналом.
29
Все начальные данные для оценки рисков выполнены в виде статистики
изменений ИБ за период, описания тенденций в поддержке и защите ИБ,
активности зловредных программ, также криминальной обстановки в округе
местонахождении офиса.
Итоги оценки рисков выполняются в виде списка рисков, каждому из
них указывается статус.
Вопрос борьбы с компьютерными вирусами сегодня стал очень
популярен. А связано это с ростом числа данных в цифровом виде,
множеством пользователей ПК и глобальной сети Internet. Многие компании
тоже изъявляют желание ограничить доступ к секретным данным или
коммерческой тайне. В рамках всего этого хакеры создают различные
вариации вирусов, которые как крадут данные, так и уничтожают их. При этом
сам вирус можно занести с флешки или карты памяти.
Схема защиты соединений сети фирмы с доступом в Интернет создана
по требуемому 3-уровнему принципу:
Маршрутизатор доступа;
Демилитаризованная зона;
Внутренний фильтрующий коммутатор.
Все ТД в ЛВС извне закрываются базовом и дополнительном
межсетевых экранах, работающих в режиме быстрого доступа и выступающих
в роли внутреннего фильтрующего коммутатора.
К межсетевым экранам часто присоединяются несколько закрытых зон,
которые могут называться выделенными сегментами для некоторого варианта
доступа:
Сеть извне (Интернет);
Сеть внутри (ЛВС);
Уровень доступа к ресурсам, которые соединены каналами связи;
Демилитаризованная зона, включающая ряд других серверов (типа
Mail12, WWW и т.д.).
30
Межсетевой экран имеет встроенную функцию NAT/PAT для выхода в
сеть из сети компании и доступа из вне к выделенным ресурсам
демилитаризованной зоны, а также имеет встроенный фильтр трафика с
защищенными зонами посредством механизма Stateful Firewall.
Для реализации и поддержания постоянного доступа в Интернет,
внедряют пару каналов связи от двух провайдеров Интернета.
Маршрутизаторы доступа выступают в этом случае периферийными и
проводят базовую фильтрацию входного трафика, пропускающую лишь
требуемый (по адресам и IP-услугам) трафик для закрытия атак типа IP-
спуфинга.
Демилитаризованная зона связана с выделенным интерфейсом
межсетевого экрана и нужна для помещения внутри нее серверов открытого
доступа, к которым есть доступ из сети компании лишь по конкретным IP-
адресам и портам.
Внутренний фильтрующий коммутатор включает технологию «private
VLAN» и минимизирует угрозы атаки на защищаемую сеть в рамках
реализации НСД к любому серверу демилитаризованной зоны.
Подобная схема внедрения такого защищенного соединения с Интернет
отражает некоторые виды угроз, а именно:
НСД при фильтрации на уровне провайдера (ISP),
дополнительного маршрутизатора и межсетевого экрана фирмы;
Атака на уровне программ с использованием IDS на уровне хоста
или сети;
Атака на пароли, которые отслуживаются методами ОС и IDS;
Отказ в обслуживании (DoS) на периферии ISP и в рамках
использования сессии TCP на межсетевом экране;
Определение зловредных программ, а также троянов при помощи
фильтров e-mail;
Отслеживание попытки разведки сети.
31
Уровень описанные мер ЗИ принято оценивать по трем показателям:
Достаточность;
Адекватность результата;
Качество реализации.
При этом принятые меры часто являются достаточными, если они могут
на 100% устранить описанные проблемы или создать условия, когда ущерб от
угроз станет минимальным для самого владельца. Однако любая мера защиты
лишь отчасти закрывает суть самой проблемы. Реально выразить уровень
результативности всех проведенных мер в общем может лишь
узконаправленный эксперт.
При этом важно также учесть совокупную связь ресурсов. К примеру,
если ряд приложений применяют общую БД для работы, то каждая ошибка
любого из них часто ведет к реализации возможности проникновения внутрь
сети или системы нарушителя и получения нужного доступа независимо от
имеющейся защиты ПО.
Адекватность может подсчитать уровень расходов на реализацию
технологии защиты итогового результата. Часто эффект от использованного
решения, которое поддерживает сам интегратор, никак не сочетается с теми
огромными затратами на его внедрение и обслуживание. И при этом нередки
случаи, когда такие изменения вообще приводили к негативным переменам.
Именно поэтому об уровне и эффективности любого метода защиты
лучше всего рассуждать только тогда, когда данный механизм не только
внедрён, но и активно используется.
Выявление результативности внедрения ИБ в компании несет за собой
несколько совокупных оценок затрат на ИБ, а также доступного эффекта от
подобной реализации. На самом деле, проведение сравнения таких оценок
позволяет получить точное представление о том, как часто возвращаются
инвестиции на ИБ, а также поможет лучше предугадывать бюджет компании
на ИБ и контролировать его.
32
Большинство решений в области защиты данных часто принимается на
логическом уровне, не используя при этом каких-то экономических расчетов
или обоснований. Однако, всегда рекомендуется обратиться к наиболее
логичным методикам, которые помогают получить суммарную оценку уровня
ИБ компании, а также выделить результативность затрат на ИБ.
Сейчас оценка результативности СЗИ фирмы данных выполнима при
помощи некоторого числа параметров эффективности, например, параметра
единого владения (ТСО), общей результативности СЗИ, а также уровнем
оборачиваемости вложений в ИБ (ROI).
К примеру, известная методика совокупной стоимости владения была
представлена еще Gather Group еще в конце 80-х годов для оценивания затрат
на ИТ. ПО итогу представленная Gather Group методика позволяла быстро
рассчитать всю расходную часть корпоративной ИС.
Сейчас методика ТСО также может быть использована для указания
результативности имеющихся СЗИ корпоративного сектора. Она дает
возможность руководителям служб ИБ грамотно описать указанный бюджет
на затраты по ИБ, а также показать итоги позитивной работы отдела по
безопасности.
Так как оценка результативности СЗИ внутри фирмы является
измеримой, то выделяем явную возможность быстро решать задачи контроля
и усреднения параметров результативности, к примеру, показателя ТСО. И тут
данный показатель послужит инструментом улучшения растрат на доведение
требуемого уровня защищенности КИС и дальнейшего выделения средств на
ИБ. Компания сама сможет выполнить все работы, а также привлечь
интегратора для описания области защиты данных совместно с ним.
1.3 Анализ существующих разработок и выбор стратегии автоматизации
1.3.1 Анализ существующих разработок для автоматизации задачи
33
Как и в любом виде коммерции, сегодня существует целое множество
различных видов программного обеспечения, позволяющих решать
поставленную в данном дипломном проекте задачу - автоматизацию учета
документов работы с контрагентами и расчетов с ними. Как правило, для этого
используются CRM-системы (системы управления взаимоотношениями с
клиентами).
Данное направление развития CRM-систем представляется наиболее
перспективным и удобным для использования в компании, поэтому
рассмотрим существующие решения.
CRM-системы – это специальные компьютерные программы, которые
автоматизируют работу менеджера по распределению задач между
сотрудниками, планированию выполнения проекта, учёту клиентов, контролю
сроков и выполнения поставленных задач.
CRM-система анализирует весь процесс выполнения задач, выделяя
проблемные моменты в работе.
Рассмотрим основные из существующих подобных систем,
предназначенных для автоматизации рассматриваемых в дипломном проекте
процессов, а именно:
Megaplan CRM
bpm’ online Sales
Bitrix 24 CRM
Amo CRM
1C CRM
Mango CRM
Для сравнения выбраны исключительно отечественные CRM, так как:
данные системы учитывают специфику российского бизнеса, они в
большинстве случаев интегрированы с другими решениями,
ориентированными на российский рынок (1с, SIP-телефония,
конструкторы лендинг-страниц и т.д.);
34
они имеют стабильную цену, так как расчет производится в рублях
(что очень важно при колеблющихся курсах валют);
вся документация данных систем представлена на русском языке;
поддержка пользователей также оказывается на русском языке;
так как системы российские, специалиста поддержки проще найти,
чем для иностранной системы.
Мегаплан – CRM-система для компаний от 5 до 500 сотрудников.
Помогает управлять продажами: выставлять счета и следить за воронкой.
Наводит порядок в задачах и следит за сроками.
BPM’online это не просто CRM-система, а целая линейка продуктов,
каждая заточенная для своего применения: sales, marketing, services, loyalty,
contact centre и отраслевые решения.
На официальном сайте компании можно зарегистрироваться и получить
demo-версию на 14 дней для тестирования, в которой будут доступны
варианты sales, marketing, contact centre и services.
«Битрикс24» - это единое рабочее пространство для компании или
отдела, которое повышает эффективность работы и позволяет каждому из
сотрудников стать успешнее. Это облачный сервис, предоставляемый
компанией «1C-Битиркс». По концепции сервиса каждая компания сможет
максимально быстро завести себе отдельный сайт в домене *.bitrix24.ru,
bitrix24.com, bitrix24.de с соответствующими языками интерфейса.
«Битрикс24» - единая точка доступа к классическим рабочим
инструментам:
база знаний;
управление задачами;
календари;
CRM;
работа с документами;
рабочие отчеты.
35
Эти инструменты объединены с «социальными» коммуникациями –
привычными и удобными инструментами из социальных сетей.
Amo CRM - Облачный продукт. Она имеет простой интерфейс.
Преимущества:
Большое количество разнообразных фильтров;
Широкая база интеграции. Amo CRM можно интегрировать с
социальными сетями, телефоном, лендиноговыми системами;
Возможность построения воронки продаж;
Минимальный срок обучения менеджера работе с данной
системой;
Есть бесплатный пробный период на 14 дней.
Эта система больше ориентирована на те компании, где продажа
происходит не сразу, где необходима воронка продаж. То есть сначала клиент
обращается к менеджеру, консультируется и только при следующих
обращениях совершает покупку.
Кроме того, Amo CRM позволяет вести работу на двух фронтах:
привлекать потенциальных клиентов и обслуживать уже существующих.
1С:CRM – это программный продукт, который помогает управлять
взаимодействием с клиентами на всех этапах работы, а также оптимизирует
все процессы внутри отделов продаж. CRM-система — это та составляющая,
которая необходима предпринимателю, желающему развивать свой бизнес,
привлекать и удерживать клиентов.
Возможности программы 1С:CRM:
Управление клиентской базой. В CRM-системе можyj сохранять
информацию о каждом клиенте, отслеживать динамику состояния
отношений с клиентами.
Учет истории контактов с клиентами. CRM позволяет
регистрировать потребности клиентов, оперативно передавать
информацию между отделами, планировать контакты.
36
Управление продажами. Можно создавать технологии продаж для
различных групп товаров, управлять стадиями и этапами продаж,
использовать механизм подготовки коммерческих предложений, а
также механизм оперативного управления и анализ цикла продаж
— «воронка» продаж.
Управление маркетингом. В программе реализована возможность
сегментирования клиентов, управления маркетинговыми
кампаниями, оценки эффективности рекламных и маркетинговых
кампаний.
Система напоминаний и заданий. Используя CRM-систему, можно
планировать и контролировать действия сотрудников,
координировать работу по времени.
Анкетирование. Система позволяет собирать информацию о
клиентах, товарах, конкурентах, регионах, анализировать анкеты.
Телемаркетинг. Сотрудники могут проводить массовый обзвон
клиентов по заданному сценарию разговора, регистрировать
контакты и анкеты.
База знаний. В программе «1С:CRM» можно вести базу знаний по
продажам, товарам, конкурентам, сервису, структурировать
информацию, вести поиск по ключевым словам, получить
быстрый доступ к информации.
Многофакторный анализ продаж. CRM-система позволяет
проводить многофакторный и АВС-анализ продаж, анализ
состояния работы с клиентами, результатов деятельности
сотрудников, анализ клиентской базы.
Система Манго CRM офис представляет собой продукт,
позволяющий увеличивать продажи и успех предприятия в целом,
функции которого заключаются в работе с клиентами.
К числу преимуществ системы CRM стоит отнести следующие:
37
Объединение с IP-телефонией. Данная функция позволяет
сохранять историю всех вопросов клиентов, которые поступают к
менеджеру. Информация о каждом клиенте может автоматически
отображаться, что увеличивает продуктивность работы
сотрудников.
Формирование клиентской базы. Собирается полная информация о
клиентах предприятия, на основании которой формируется общая
база. Затем происходит систематизация данных от партнеров-
клиентов, что позволяет открывать новые горизонты для бизнеса.
Автоматизирование течения продаж. Увеличивается количество
сделок, которые заканчиваются успешно, появляется больше
удовлетворенных клиентов, растут положительные отзывы.
Контроль и управление компанией. Передает данные о любых
звонках, сделках, движении денежных потоков в онлайн-режиме.
Каждый менеджер исполняет строгие указания и придерживается
определенных инструкций на всех этапах продаж.
Архивация историй продаж. Персональный подход ко всем
клиентам, благодаря хранению полной информации о каждом
покупателе.
Сравнение рассмотренных систем приведен в таблице 7.