Схема документооборота представленна на рисунке 1.7.
1.3.3 Определение уровня защиты информации для исследуемой
задачи
В ходе деятельности рассматриваемого предприятия информационная
безопасность обеспечивается по следующим направлениям:
• правовая защита включает: Законодательство РФ, собственные
нормативно-правовые документы, в том числе: положение о сохранении
34
конфиденциальной информации, перечень сведений, составляющих
коммерческую тайну, инструкция о порядке допуска сотрудников к
конфиденциальной информации, положение о делопроизводстве и
документообороте, обязательство сотрудника о неразглашении
конфиденциальной информации, памятка сотруднику о сохранении
коммерческой тайны;
• организационная защита включает режимно-административные и
организационные мероприятия. К ним относятся: организация службы
безопасности, организация внутриобъектового и пропускного режимов,
организация работы с сотрудниками по неразглашению сведений,
составляющих коммерческую и служебную тайну, организация работы с
документами, организация работы по анализу внешних и внутренних угроз;
• инженерно-техническая защита - предусматривает применение
различных технических, электронных и программных средств,
предназначенных для защиты информации.
К таким средства относятся следующие применяемое программное
обеспечение:
• антивирусное программное обеспечение (Dr. Web);
• программные брандмауэры, входящие в состав применяемых
коммутаторов;
• криптографические средства (система Криптодок);
• средства идентификации и аутентификации пользователей (usb-
ключи Activkey).
Кроме того, для защиты ЛВС применяются следующие методы:
• в системе назначен администратор безопасности;
• за каждое устройство назначен ответственный за его
эксплуатацию;
• системный блок компьютера опечатывается печатями
ответственного и работника IT-службы;
• CD-ROM сняты с компьютеров;
35
• установка любого программного обеспечения проводится только
сотрудником ИТ-отдела;
• запрещено использование неучтенных носителей информации.
На учтенных носителях выполнена маркировка, в том числе гриф хранимой
информации, номер, должность и фамилия сотрудника.
Далее рассмотрим основные возможности применяемого программного
обеспечения.
USB-ключи ActivKey при своем малом размере и удобной форме
обеспечивают надежную защиту, позволяя реализовать двухфакторную
аутентификацию, цифровую подпись и шифрование данных аналогично
смарт-карте. Устройства ActivKey подключаются напрямую через USB-порт,
тем самым - экономя ИТ-ресурсы. Простое подсоединение ключа к
свободному USB-порту реализует строгую аутентификацию на рабочей
станции, сетевых ресурсах, при работе в режиме удаленного доступа, а так
же позволяет авторизоваться в приложениях, обеспечивая защиту данных и
транзакций. USB-ключи ActivKey для сотрудников являются
идентификаторами, управляют персональными данными, обеспечивают
функции PKI, надежно хранят идентификационные данные пользователей.
USB-ключи.
КриптоДок — система хранения и обмена корпоративными
документами, обеспечения их подлинности и защиты.
Система позволяет решать следующие задачи:
1. Организация совместной работы с документами
• внутри организации (между отделами и службами с разными
уровнями доступа к документам в зависимости от степени важности и/или
секретности)
• между организацией и ее клиентами
• между партнерами
• между организацией и ее филиалами, дочерними компаниями,
иными отдаленными структурными подразделениями
36
• в дилерской и дистрибьюторской сети, с поставщиками
2. Управление пользователями и группами и разграничение прав
доступа
3. Обеспечение безопасности
• электронных данных (шифрование и электронная цифровая
подпись)
• канала передачи данных (использование TLS/SSL протоколов)
• доступа к данным (строгая аутентификация и авторизация
доступа по цифровым сертификатом, система ролей с распределением прав
доступа)
• юридических прав участников электронного документооборота
(поддержка российского сертифицированного средства криптографической
защиты информации — КриптоПро CSP)
КриптоДок реализует следующие возможности:
1. Управление учетными записями пользователей и группами
пользователей
2. Управление правами доступа к ресурсам хранилища (каталогам и
файлам)
3. Центр регистрации (управление запросами и сертификатами)
4. Работа с файлами и каталогами
5. Обмен сообщениями между пользователями
Кроме того, система обеспечивает:
• сохранение профилей "КриптоАРМ", установленных на рабочих
местах пользователей
• синхронизацию данных из центрального хранилища с данными
на рабочем месте пользователя (запросы, сертификаты, настройки
«КриптоАРМ»)
• использование профиля КриптоАРМ для выполнения операций
• работу с уведомлениями о наличие файлов в системе
37
Комплекс мер по защите информации в разрабатываемой системе
включает в себя следующие аспекты:
• защита информации непосредственно в информационной системе
от внутренних угроз;
• защита информации от внешних угроз.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 1.6.
Таблица 1.6
Разграничение прав пользователей
Г руппы
пользователей
Модуль
«Клиенты»
Модуль
«Отчеты»
Модуль
«Справочн
ики»
Модуль
«Лизинг
автомобиле
й»
Сотрудники
Чтение
Полный
Ввод
данных
Полный
Администратор
системы
Полный Полный Полный Полный
Защита от внешних угроз осуществляется путем применения
следующих способов:
- использованием программно-аппаратных комплексов;
- использованием защищенных каналов связи при передаче
информации;
- разработкой и соблюдение политик безопасности;
- использованием антивирусных средств;
- физической защитой помещений с наиболее ценной информацией.
В рассматриваемой компании для обеспечения информационной
безопасности лицом, ответственным за информационную безопасность
предприятия, разрабатываются следующие нормативно-правовые и
организационно-распорядительные документы:
38
1. Концепция обеспечения информационной безопасности
организации
2. Правила обеспечения информационной безопасности при работе
пользователей в корпоративной сети организации
3. Комплексный план защиты информационных ресурсов
организации от несанкционированного доступа
4. Политика и Регламент резервного копирования и восстановления
данных
5. Антивирусная политика, Инструкция по защите от
компьютерных вирусов, Стандарт на антивирусное ПО
6. Политика управления доступом к ресурсам корпоративной сети
7. Политика обеспечения безопасности при взаимодействии с сетью
Интернет
8. Парольная политика
9. Руководство по защите конфиденциальной информации,
Перечень сведений, составляющих конфиденциальную информацию,
Соглашение о конфиденциальности
10. Политика обеспечения физической безопасности помещений и
оборудования
11. Политика информационной безопасности
В данных документах указываются положения в соответствии с их
названием, а также установлены ответственные лица и ответственность за
нарушение указанных правил.
1.4 Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.4.1 Анализ существующих разработок для автоматизации задачи
«1С:Предприятие 8» для управления лизинговой компанией
Достоинства:
■ возможность хранения документов любых типов - офисные
документы, тексты, изображения, аудио и видео файлы, документы систем
39
проектирования, архивы, приложения и т.д.
■ наличие шаблонов для создания документов;
■ набор реквизитов соответствует ГОСТ Р 6.30-2003 и требованиям
ГСДОУ;
■ возможность подключения сотрудников, работающих вне фирмы по
средством использования web-браузера;
■ разграничение прав доступа.
Недостатки:
■ большая стоимость программного продукта;
■ нет функции составления отчетов;
■ возникает сложность в просматривании всей истории работы с
конкретной фирмой-контрагентом;
■ трудный процесс обучения сотрудников.
ISIDA
Достоинства:
■ возможность просматривать и отслеживать обязанности и
полномочия сотрудников;
■ возможность ввода документов по средством сканера и факса;
■ существует поддержка работы с электронной почтой;
■ снабжение документа цифровой подписью.
Недостатки:
■ отсутствие функции составления отчетов;
■ продажа осуществляется только комплексными проектами, что ведет
к высокой стоимости;
■ отсутствие четкой понятной системы разграничения прав доступа;
■ сложный процесс обучения персонала.
Naumen DMS
Достоинства:
■ эффективный поиск документов по их реквизитам, а также по тексту;
■ обеспечение сертификации на соответствие требованиям стандарта
40
ISO 9001:2000;
■ система поддерживает полный цикл управления бизнес-процессами;
■ поддержка основных промышленных реляционных баз данных.
Недостатки:
■ программный продукт включает в себя большое количество не
требуемых функций, что приводит к повышению его стоимости;
■ отсутствие возможности наделить каждого сотрудника различными
правами доступа;
■ сложный процесс обучение сотрудников.
UMS Docs
Достоинства:
■ современные web-ориентированные технологии;
■ легкость внедрения и низкая стоимость обслуживания;
■ возможность объединять сеть удаленных друг от друга филиалов
организации;
■ стоимость продукта с учетом внедрения и обслуживания системы не
превышает среднерыночной.
Недостатки:
■ отсутствие функции разграничения прав доступа конкретных
сотрудников;
■ отсутствие возможности составления отчетов;
■ сложный процесс обучения сотрудников;
■ отсутствие возможности отслеживания результатов работы
конкретного сотрудника.
1.4.2 Обоснование стратегии автоматизации задачи
Целью выбора стратегии автоматизации задачи является снижение
затрат. Понятие стратегии автоматизации включает в себя базовые
принципы, используемые при автоматизации предприятия. В ее состав
входят следующие компоненты:
41
• цели: области деятельности предприятия и последовательность, в
которой они будут автоматизированы;
• способ автоматизации: по участкам, направлениям, комплексная
автоматизация;
• долгосрочная техническая политика - комплекс внутренних
стандартов, поддерживаемых на предприятии;
• ограничения: финансовые, временные и т.д.
• процедура управления изменениями плана.
Стратегия автоматизации в первую очередь должна соответствовать
приоритетам и стратегии (задачам) бизнеса. В понятие стратегии также
должны входить пути достижения этого соответствия. Стратегический план
автоматизации должен составляться с учетом следующих факторов:
• средний период между сменой технологий основного
производства
• среднее время жизни выпускаемых предприятием продуктов и
его модификаций
• анонсированные долгосрочные планы поставщиков технических
решений в плане их развития
• срок амортизации используемых систем
• стратегический план развития предприятия, включая планы
слияния и разделения, изменение численности и номенклатуры выпускаемой
продукции
• планируемые изменения функций персонала.
Автоматизация - один из способов достижения стратегических бизнес
целей, а не процесс, развивающийся по своим внутренним законам. Во главе
стратегии автоматизации должна лежать стратегия бизнеса предприятия:
миссия предприятия, направления и модель бизнеса. Таким образом,
стратегия автоматизации представляет собой план, согласованный по срокам
и целям со стратегией организации [19].
42
К основным ограничениям, которые необходимо учитывать при выборе
стратегии автоматизации задачи учета лизинговых операций ПАО
«Европлан», относятся следующие:
• финансовые,
• временные,
• ограничения, связанные с влиянием человеческого фактора,
• технические.
Финансовые ограничения определяются величиной инвестиций,
которые предприятие способно сделать в развитие автоматизации.
Временные ограничения в данном случае связаны со следующими
факторами:
• необходимостью обучения персонала;
• тратой времени на внедрение системы.
К ограничениям, связанным с влиянием человеческого фактора,
относятся следующие ограничения:
• корпоративная культура - отношение персонала к автоматизации,
• особенности рынка труда трудовое законодательство.
На сегодня существуют две ключевых стратегии автоматизации:
подгонка существующего программного продукта под бизнес-процессы
организации, предварительная реорганизация бизнес-процессов и
последующая автоматизация уже упрощенной структуры. Выбор стратегии
автоматизации зависит от целей развития организации-заказчика и ее
долгосрочных экономических возможностей.
Для рассматриваемой задачи более подходит вариант с
реинжинирингом существующих бизнес-процессов так, как это описано
выше и разработкой автоматизированной системы.
Кроме того, существуют следующие стратегии автоматизации:
1) Хаотичная (кусочная) автоматизация является одним из наиболее
неэффективных видов инвестирования средств для развития предприятия.
Под автоматизацией понимается отсутствие стратегического плана создания
43