2
Содержание
Введение ............................................................................................................... 4
I Аналитическая часть ........................................................................................ 6
1.1. Технико-экономическая характеристика предметной области и
предприятия ......................................................................................................... 6
1.2. Анализ рисков информационной безопасности ...................................... 10
1.2.1. Идентификация и оценка информационных активов ......................... 10
1.2.2. Оценка уязвимостей активов ................................................................. 16
1.2.3 Оценка угроз активам .............................................................................. 18
1.2.4.Оценка существующих и планируемых средств защиты .................... 23
1.2.5.Оценка рисков .......................................................................................... 34
1.3.Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ............................................................. 36
1.3.1.Выбор комплекса задач обеспечения информационной безопасности
............................................................................................................................. 37
1.3.2.Определение места проектируемого комплекса задач в комплексе
задач предприятия, детализация задач информационной безопасности и
защиты информации ......................................................................................... 39
1.4.Выбор защитных мер .................................................................................. 40
1.4.1.Выбор организационных мер .................................................................. 40
1.4.2.Выбор инженерно-технических мер ...................................................... 43
II Проектная часть ............................................................................................. 49
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия. ...................................... 49
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия ................................................................................ 49
3
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия ....................................................................................................... 55
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия ....................................................................................................... 60
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия ....................................... 60
2.2.2. Контрольный пример реализации проекта ........................................... 67
III Выбор и обоснование методики расчёта экономической эффективности
............................................................................................................................. 82
3.1 Выбор и обоснование методики расчёта экономической эффективности
............................................................................................................................. 82
3.2 Расчёт показателей экономической эффективности проекта ................. 83
Заключение ........................................................................................................ 88
Список источников и литературы ................................................................... 90
Приложение 1 .................................................................................................... 93
Приложение 2 .................................................................................................... 94
Приложение 3 .................................................................................................... 95
Приложение 4 .................................................................................................... 96
4
Введение
В настоящее время с широким распространением информационных и
коммуникационных технологий особую актуальность приобретают задачи
обеспечения защиты информации. Информационные ресурсы в настоящее
время представляют собой высокоценный актив, обеспечение сохранности
которого является залогом успешности функционирования организаций
различного рода деятельности. Потери информации с высокой
вероятностью могут приводить к простоям в работе сотрудников
организаций, что приводит к прямым убыткам, связанным с потерями в
клиентской базе, просрочкам в исполнении заказов и подготовке
документов и др.
В качестве объектов обрабатываемой информации выступают:
финансовые данные, элементы коммерческой тайны, объекты, охраняемые
законодательством об авторском праве, а также данные о личной жизни и
состоянии здоровья людей. Утечки информации, содержащей
коммерческую тайну, могут выступать в качестве причины прямых
убытков, вплоть до возникновения угрозы функционированию
предприятия. Известен ряд прецедентов, когда из-за утечек персональных
данных злоумышленники получали возможность совершения
неправомерных действий (получать кредиты, снятие наличных средств в
банкоматах, кража денежных средств с счетов, находящихся в электронных
кошельках). Таким образом, задача обеспечения защиты информации на
сегодняшний день имеет особую актуальность.
Цель дипломной работы заключается в анализе использования
экспертных систем в анализе обеспечения защиты информации ООО
«Бизнес Телесистемы».
Задачи работы:
- проведение анализа теоретических аспектов функционирования
систем информационной безопасности;
5
- анализ организационной структуры ООО «Бизнес Телесистемы»;
- проведение анализа структуры АИС изучаемого предприятия;
- выбор информационных активов для построения архитектуры
защиты информации;
- проведение анализа существующей системы информационной
безопасности на предприятии;
- разработка мероприятий по внедрению экспертной системы в
технологию защиты информации в условиях исследуемого предприятия;
- оценка экономической эффективности проекта.
Объект исследования: система защиты информации ООО «Бизнес
Телесистсмы».
Предмет исследования: использование экспертных систем в
обеспечении защиты информации.
Методы исследования: анализ литературных источников,
нормативно-правовых актов и стандартов в области защиты информации,
анализ технической документации по средствам защиты информации,
анализ технологий использования экспертных систем при анализе
защищенности информационных систем.
6
I Аналитическая часть
1.1. Технико-экономическая характеристика предметной области
и предприятия
Компания «Бизнес ТелеСистемы» была основана в 2008 году.
Первоначальными направлениями деятельности компании являлись
сопровождение систем электронного документооборота и криптографии,
облачных сервисов, технологий экспертизы бизнес-процессов,
управленческих технологий в информационных системах клиентов,
включающих организации малого и среднего бизнеса.
На сегодняшний день основные направления деятельности компании
включают [1]:
Работу с сертификатами электронной подписи для участия в
государственных и коммерческих торгах;
Обслуживание системы по формированию, проверке и сдаче
электронной отчётности в контролирующие организации;
Обслуживание автоматизированных систем электронного
документооборота;
Услуги поисковых систем по проверке контрагентов и
аффилированности;
Услуги справочно-правовых веб-сервисов;
Услуги облачных сервисов на базе Open Source;
Разработка программного обеспечения;
Услуги по веб-разработке Интернет-решений;
Услуги Интернет-маркетинга.
На рисунке 1 приведена схема организационной структуры ООО
«Бизнес Телесистемы».
7
Рисунок 1 – Организационная структура ООО «Бизнес телесистемы»
Как показано на рисунке 1, организационная структура ООО «Бизнес
телесистемы» включает руководство в лице генерального директора и двух
заместителей, один из которых курирует работу подразделений по работе с
клиентами, другой – отделов, обеспечивающих работу компании.
Отдел по работе с клиентами курирует вопросы работы с заказами на
услуги компании, заключения договоров на обслуживание, оформление и
выдачу документации.
Специалисты удостоверяющего центра курируют вопросы оказания
услуг по обороту сертификатов электронной подписи, функционирования
систем электронного документооборота, работу клиентов с торговыми
площадками. В рамках работы удостоверяющего центра специалистами
компании проводится контроль актуальности сертификатов,
функциональности плагинов и программных систем, использующих
системы электронной подписи.
Специалисты отдела разработки курируют вопросы оказания услуг,
связанных с разработкой и сопровождением программного обеспечения.
Генеральный
директор
Заместитель
директора
Отдел по
работе с
клиентами
Удостоверяющий
центр
Отдел
разработки и
сопровождения
ПО
Заместитель
директора
Экономический
отдел
Отдел ТО и
ТС
Отдел по
работе с
персоналом
8
В компетенцию специалистов экономического отдела входят вопросы
ведения бухгалтерского, налогового учета, учета заработной платы,
подготовки отчётности в государственные органы в рамках деятельности
компании, а также вопросы разработки ценовой политики на услуги
организации.
В рамках анализа технологий обеспечения информационной
безопасности ООО «Бизнес Телесистемы» был проведен аудит технологий,
связанных с обеспечением защиты информации. Анализ основных
процессов, связанных с обеспечением информационной безопасности,
приведен в таблице 1.
Таблица 1 - Бизнес-процессы, связанные с обработкой
конфиденциальной информации в условиях ООО «БИЗНЕС
ТЕЛЕСИСТЕМЫ»
Бизнес-процесс
Объект защиты информации
Услуги по обороту
сертификатов электронной
подписи
Сертификаты электронной подписи, копии
сертификатов на бумажных носителях,
данные пользователей – абонентов системы
электронного документооборота
Работа с персоналом
Персональные данные работников ООО
«Бизнес Телесистемы»
Услуги облачных сервисов
Данные виртуальных сред фирм-клиентов
Базы данных фирм-
клиентов
Информация, содержащаяся в базах данных
фирм-клиентов
Разработка программного
обеспечения
Программные коды
Документы о структуре
системы информационной
безопасности ООО
«БИЗНЕС
ТЕЛЕСИСТЕМЫ»
Данные о структуре системы
информационной безопасности ООО
«БИЗНЕС ТЕЛЕСИСТЕМЫ»
Web-разработки
Информация, содержащаяся в Web-порталах
фирм-клиентов, данные аутентификации
Компоненты системы защиты информации в ООО «БИЗНЕС
ТЕЛЕСИСТЕМЫ» приведены на рисунке 2.
9
Рисунок 2 - Система защиты информации в ООО «БИЗНЕС
ТЕЛЕСИСТЕМЫ»
Как показано на рисунке 1, система защиты информации организована
по линейно-функциональному принципу. Специалисты по защите
информации в условиях ООО «БИЗНЕС ТЕЛЕСИСТЕМЫ» организационно
входят в две группы, входящие в отдел информационной безопасности.
Группа организационного обеспечения защиты информации
включает в себя:
- группу по организационному обеспечению технологии защиты
информации;
- группу по технологическому обеспечению защиты информации.
Специалисты группы по организационному обеспечению защиты
информации курируют вопросы функционирования программного и
аппаратного обеспечения технологий информационной безопасности. К
ним относятся: установка и настройка криптографического ПО, системы
антивирусной защиты, специализированного программного обеспечения в
области защиты информации, настройка и обслуживание систем
видеонаблюдения, системы контроля управления доступом.
Информация, циркулирующая в системе ООО «БИЗНЕС
ТЕЛЕСИСТЕМЫ», может предоставляться и обрабатываться как в
автоматизированной, так и в неавтоматизированной форме.
10
Основные организационно-экономические параметры ООО «БИЗНЕС
ТЕЛЕСИСТЕМЫ» за 2014г. приведены в таблице 1.1.
Таблица 1.1
Организационно-экономические показатели ООО «БИЗНЕС
ТЕЛЕСИСТЕМЫ» за 2018г.
№ п\п
Наименование характеристики (показателя)
Значение
1
Количество организаций-клиентов
239
2
Количество сотрудников, чел.
56
3
Количество офисов
1
4
Прибыль за отчетный период, тыс. руб.
85236
5
Количество абонентов системы электронного
документооборота
136
6
Количество аналитических аудиторских отчетов
98
1.2. Анализ рисков информационной безопасности
1.2.1. Идентификация и оценка информационных активов
В рамках данной работы проведена оценка системы защищенности
экспертной системы автоматизированного управления организацией.
Модулями экспертной системы являются:
- Модуль анализа защищенности облачных сервисов;
- База знаний экспертной системы автоматизированного управления
организацией;
- Модуль оценки защищенности криптографических системы;
- Модуль оценки защищенности Web-сервисов;
- Модуль оценки системы защиты систем разработки;
- Модуль защиты сетевых подключений.
Использование экспертной системы защиты данных позволяет
обеспечивать необходимые параметры защищенности информационных
ресурсов организаций-клиентов. Принятие усиленных мер обеспечения
информационной безопасности связано с необходимостью сведения к нулю
вероятности потери данных облачных сервисов фирм-клиентов, а также
11
простоев в работе системы, вызванных нарушениями в работе системы
обеспечения защиты информации.
ЭС, используемые в оценке защищенности информационной системы
включают модули поддержки принятия решений, используемые при
решении задач оптимизации проектирования подсистем обеспечения
информационной безопасности с использованием технологий
многокритериальной оптимизации. При этом необходимо, чтобы различные
способы реализации архитектуры защиты информации оценивались в
соответствии с некоторыми заранее выделенными критериями оценки,
позволяющими описывать системы защиты с позиции обеспечения
необходимых параметров надежности, эффективности, экономичности.
Критерии оценивания могут включать параметры, позволяющие
формировать дерево принятия решений. В процессе проектирования
архитектуры защиты информации необходимо решать не только задачи
оптимального проектирования, но также использовать механизмы
системного подхода к проектированию. Необходимость выполнения
требований законодательства, внутриорганизационных регламентов и
требований клиентов предполагает решение задач по информационно-
аналитической поддержке процесса разработки экспертной системы.
Экспертная система должна включать данные справочной подсистемы для
консультирования и интерпретации получаемой информации,
аналитические расчетные системы для проведения диагностики и анализа
текущего состояния защищенности в сравнении его с требуемым классом
защищенности. Экспертная система должна не только получать
информацию на входе, но и предлагать решения, поясняя их, иметь
подсистему, позволяющую проводить разработку решений и составление
логических выводов. Задачи экспертных систем также предполагают
формализацию методики оценивания рисков безопасности и поддержки
возможности по созданию дополнительных (пользовательских)
методологий с наличием режимов редактирования. В экспертной системе