32
• Блокирует попытки взлома компьютера из сети.
• Помогает узнать о подозрительных веб-сайтах и остановить
Интернет-угрозы. Передовая защита от фишинга предупреждает вас о сайтах,
которые могут украсть ваши личные данные или получить доступ к вашей
финансовой информации. Обеспечивает рейтинг безопасности веб-сайтов в 22
поисковых системах.
В качестве файрволла применяется Outpost Security Suite Service.
У бухгалтера, кроме стандартного пакета ПО, установлен программный
комплекс «1С: Предприниматель 8». Персональный компьютер кладовщика
обладает такими же характеристиками, как и другие ПК, но дополнительно
оснащен сканером для чтения штрих-кодов.
Программа позволяет автоматизировать бухгалтерский и налоговый учет
предприятия. Предполагается, что типовая программа не требует адаптации и с
ней будет работать только один пользователь.
• Основные возможности по отражению хозяйственных операций:
o партионный и складской учет материально-производственных
запасов (МПЗ);
o учет основных средств (ОС) и нематериальных активов (НМА);
o учет торговой деятельности, в том числе оптовой, розничной и
комиссионной торговли;
o учет в производстве;
o взаиморасчеты с контрагентами;
o учет операций по кассе и банку;
o валютные операции;
o подотчетные лица;
o операции с тарой;
o расчет заработной платы и персонифицированный учет;
o расчеты с бюджетом и др.
• Ввод, хранение и печать первичных документов:
o платежных поручений и других банковских документов;
o счетов, накладных и счетов-фактур;
o кассовых документов, авансовых отчетов;
33
o доверенностей и других документов.
• Разнообразные отчеты:
o книга учета доходов и расходов и хозяйственных операций
предприятия, уплачивающего НДФЛ;
o книга учета доходов и расходов по упрощенной системе
налогообложения;
o кассовая книга;
o расшифровка отчетов;
o подготовка отчетности с возможностью отправки в электронном
виде в налоговый орган;
o возможность самостоятельной настройки отчетов.
1.3.2 Определение средств автоматизации для решения задачи
исследования
Схема документооборота документов при учете рабочего времени
приведена на рисунке 1.10.
табель рабочего
вр еме ни
Дей ст вие
Начальник отдела
Учет да нн ых
Утверждение табеля
Дан ные со СКУД
Сведения о
переработках
Сотр удн ик
Формирование сведений о
переработках
Бухгалт ер
Составление табеля
табель рабочего
вр еме ни
Общий отчет для
руководства
График отпусков
Формирование отчетов
Рисунок 1.10 Схема документооборота при учете рабочего времени
Временные характеристики описанных процессов приведены в таблице 1.4.
34
Таблица 1.4 Характеристики описанных процессов
Действие
Среднее
количество за
рабочий день
Время, необходимое для
выполнении одного
действия, минут
Общее
время,
минут
Учет рабочего времени
10
10
100
Оформление записки
10
10
100
Учет в журнале
3
15
45
Формирование табеля
учета работы
15 7 105
Подготовка отчетов
1
35
35
ИТОГО, минут:
385
Исходя из приведенных расчетов ежедневно сотрудник службы около 385
минут, то есть практически полный рабочий день, тратит на учет заявлений и
оформление пропусков, а также подготовку отчетов, что не является
рациональным использованием рабочего времени.
Проведем расчет ожидаемого эффекта от внедрения средств
автоматизации.
В случае использования вычислительной техники данный процесс сводится
к вводу данных в приложение и получению общего отчета. В таблице 1.5
произведен расчет эффекта внедрения.
Таблица 1.5 Расчет эффекта внедрения
Действие
Среднее
количество
за рабочий день
Время, необходимое
для выполнения одного
действия, минут
Общее время,
минут
Учет рабочего времени
10
1
10
Оформление записки
10
1
10
Учет в журнале
3
2
6
Формирование табеля
учета работы
15 2 30
ИТОГО, минут:
56
35
Таким образом, ожидаемая экономия рабочего времени составляет около
5,5 часов (385-56=329 минут) ежедневно, что позволяет увеличить эффективность
работы сотрудников ООО «Юнит групп».
1.3.3 Определение уровня защиты информации для исследуемой
задачи
В ООО «Юнит групп» функционирует политика безопасности.
Для создания частной политики безопасности нужно утвердить список всех
секретных данных в компании, и подготовить перечень сотрудников, которые
могут иметь доступ к этим данным. Нужно добавить обязательный пункт в
трудовой договор о запрете на разглашение данных, к которым работник получает
доступ в силу служебных обязанностей.
Далее нужно создать ряд нормативно-распорядительных документов:
• Концепция обеспечения ИБ компании.
Она определяет суть и задачи, а также совокупную стратегию построения
полноценной системы поддержания ИБ, базовые требования и подходы к их
реализации, особо важные ресурсы и требования по их защите.
Содержание: понятия и определения, общие положения, суть концепции,
описание объекта защиты, текущие принципы поддержания ИБ, проведение работ
по поддержанию ИБ, меры поддержания ИБ, уровни ответственности и порядок
работы подразделений, процедура категорирования систем защиты информации
(СЗИ), модель злоумышленника, модель угроз ИБ, требования по поддержанию
ИБ, наказания за нарушения ИБ, история изменений.
• Правила работы пользователей в сети фирмы.
Этот документ описывает текущие правила по поддержанию ИБ при работе
пользователей в сети предприятия.
Содержание: понятия и термины, совокупные положения, совокупные
правила безопасности, предъявляемые к персоналу сети, применение средств
анализа данных, предупреждение о вирусной угрозе, требования по поддержанию
ИБ при работе в сети Интернет и электронной почты, ответственность за
поддержание ИБ.
• Политика и регламент восстановления и копирования данных.
36
Описываемая политика выражает совокупные требования, базовые
принципы и процедуры реализации резервирования информационных ресурсов
фирмы. Она также устанавливает ответственность персонала, реализацию службы
безопасности (СБ) и контроль этих процедур.
Содержание: понятия и термины, совокупные сведения, базовые
положения, требования к системе копирования, условия копирования и
восстановлению типов данных, поддержание безопасности резервных копий,
методика резервного копирования, порядок проведения копирования,
ответственность.
• План восстановления работоспособности ИС по факту аварии.
Этот план выражает базовые меры, методы и средства сохранения рабочего
состояния ИС фирмы при реализации различных аварийных ситуаций, а также
перечень работ по восстановлению процессов анализа данных в момент
нарушения работоспособности ИС ее базовых компонентов. Также план
описывает действия всех категорий персонала ИС в сложных ситуациях по
ликвидации их последствий и уменьшения реального ущерба.
Содержание: вступление, базовые положения, рабочие группы по
минимизации последствий аварии, технические условия для размещения
серверов, выделение приоритетов для прикладных систем, средства поддержки
непрерывной работы и восстановления, дублирующий вычислительный центр,
тест плана, сопровождение плана.
• Совокупный план защиты информационных ресурсов фирмы от
НСД.
Цель настоящего плана заключается в документировании согласованных
решений, а также подготовка и принятие достаточного набора процедур для
минимизации попыток НСД, отслеживания попыток НСД и ликвидации
возможных НСД.
План выделяет мероприятия, проводимые в рамках всего периода работы
системы для уменьшения попыток НСД и их быстрого обнаружения. План также
описывает стратегии реагирования на возможные НСД и процедуры ликвидации
произошедших НСД.
37
Содержание: контроль реагирования и минимизация попыток НСД,
опережение попыток НСД, нахождение попыток НСД, реагирование на попытки
НСД, сглаживание последствий НСД.
• Политика реализации безопасности удаленного доступа к ресурсам
сети фирмы.
Удаленный доступ к ресурсам фирмы является видом доступа,
реализуемым по внешним каналам связи с применением устройств доступа,
помещенных за пределами охраняемой зоны и не отслеживаемых компанией.
Главные варианты удаленного доступа такие:
• Доступ к сети по коммутируемым каналам связи с применением
телефонной сети;
• Доступ мобильных пользователей к сети по VPN каналам связи типа
«ПК-сеть» через Интернет;
• Подключений удаленных филиалов компании к сети по VPN каналу
типа «сеть-сеть» через Интернет.
Содержание: понятия и термины, совокупные положения, требования
поддержания безопасности удаленного доступа, ответственность, контроль.
• Политика поддержания безопасности в работе с Интернет.
Эта политика описывает:
• Роль СБ компании в поддержании ИБ при подключении отдельных
участков корпоративной сети к Интернету;
• Параметры конфигурирования СЗИ, включая коммутаторы и
межсетевые экраны (МЭ);
• Параметры программных систем и оборудования, находящемуся в
демилитаризованной зоне сети компании;
• Процедура реализации контроля защищенности внешнего периметра
сети компании.
Содержание: понятия и термины, совокупные сведения, назначение, сфера
применения, базовые положения, отслеживание доступа пользователей в
Интернет, отслеживание доступа пользователей сети Интернет к ресурсам сети
компании, параметры настройки внешних маршрутизаторов, параметры
38
настройки систем, которые находятся в демилитаризованной зоне,
ответственность.
• Антивирусная политика и меры защиты от компьютерных вирусов.
Данный документ призван описать систему мер, которая делается СБ
компании, и направлена на защиту ПК, входящих в состав сети компании от
компьютерных вирусов, троянов и прочих деструктивных программ-шпионов, а
также описывает требования к параметрам комплексной системы антивирусной
защиты сети компании и мероприятия, поддерживающие эту систему в рабочем
состоянии.
Содержание: совокупные сведения, базовые положения, состав средств
антивирусной защиты, параметры средств антивирусной защиты, контроль
работы системы антивирусной защиты, общая ответственность.
• Политика применения и выбора паролей.
Эта политика описывает требования к порядку подбора, смены,
использования и другим вопросам, которые связана с механизмом парольной
аутентификации в ИС фирмы.
Содержание: понятия и термины, совокупные сведения, базовые
положения, тонкости подбора паролей, поддержание конфиденциальности
паролей, отслеживание и ответственность.
• Правила предоставления доступа в сеть компании.
Правила отражают:
• Очередность предоставления персоналу доступа к ресурсам сети
фирмы;
• Очередность закрытия доступа;
• Очередность корректировки прав доступа;
• Требования к сотрудникам компании в рамках передачи им доступа
к ресурсам сети фирмы;
• Очередность реализации контроля доступа;
• Ответственность персонала фирмы.
Содержание: понятия и термины, совокупные сведения, назначение, рамки
применения, базовые положения, порядок передачи доступа к ресурсам сети
39
компании, очередность отмены доступа к сети компании, очередность
корректировки прав доступа к сети компании, контроль, общая ответственность.
• Политика аудита ИБ.
Политика аудита ИБ определяет:
• Базу правил для работы внутренних и внешних аудиторов;
• Возможности внешних и внутренних аудиторов;
• Ответственность аудиторов за поддержание ИБ и адекватного
режима работы ИС компании;
• Рамка и правила проведения аудита ИБ и анализа рисков.
Порядок внутреннего аудита ИБ представляет процесс сбора и анализа
данных, требуемых для оценки уровня ИБ компании при реализации внутреннего
аудита. Такая процедура помогает оценить адекватность созданных в ИС
механизмов безопасности, соотнести систему обеспечения ИБ требованиям
бизнеса, безопасности и законодательства.
Содержание: понятия и термины, совокупные сведения, базовые
положения, рамки проведения аудита в компании, контроль рисков,
ответственность.
• Соглашение о соблюдении уровня ИБ, заключаемое со сторонними
компаниями.
Это соглашение необходимо для обеспечения ИБ ресурсов компании,
доступ к которым дается партнеру на период активности соглашения. По нему
партнер обязуется хранить и не разглашать данные, включающие коммерческую
или служебную тайну компании, а также поддерживать выполнение требований
по защите информации от несанкционированного доступа, вирусов и прочих
угроз, которые связаны с нарушением доступности или целостности данных
фирмы.
Содержание: совокупные положения, предмет соглашения, обязанности и
права сторон, хранение документов, общая ответственность, период действия
соглашения, решение спорных моментов.
• Политика установки нового ПО.
Настоящая политика отражает систему мер для поддержания корректной
работы системного ПО и приложений, защиты от троянов и вирусов,
40
применяющих для своего распространения типичные уязвимости ПО, атаки со
стороны сети Интернет и другие угрозы безопасности.
Содержание: понятия и термины, совокупные сведения, базовые
положения, состав системы контроля обновлений, требования к параметрам
системы установки обновлений, ответственность.
• Стандарт на антивирусное ПО.
Этот документ отражает процесс анализа нарушений политики фирмы, а
также планирования и реализации мер поддержанию ИБ.
Реализации данных целей помогает решение таких задач, как:
• Выделение методов нахождения нарушений и типичных проблем с
ИБ;
• Определение и сообщение о нарушениях;
• Выделение причин реального или возможного нарушения и отчет по
итогу их анализа;
• Планирование обновленных и новых мер;
• Применение обновленных и новых мер;
• Изучение итогов реализации мер по поддержанию ИБ.
Содержание: вводная часть, цели процедуры, характеристика процедуры,
условия запуска процедуры, начальные данные, итоговые данные, условия
окончания процедуры, описание прохождения процедуры, распределение
ответственности и ролей, требования по квалификации, данные процедуры,
приложения.
• Положение о защите секретных данных и перечень сведений
закрытого доступа.
Этот документ отражает систему мероприятий по ЗИ в фирме, включая
правила деления, правила маркирования, правила обращения с секретными
данными и ответственность персонала компании за поддержание режима
конфиденциальности данных.
• Перечень сведений, включающих секретные данные, а также пример
соглашения о конфиденциальности.
Содержание: область и сфера применения, совокупные положения о
коммерческой тайне, правила деления информации, угрозы неправомерного
41
раскрытия конфиденциальной информации, типы маркировки документов,
включающих конфиденциальную информацию, правила перехода данных к
категории секретной, правила обращения с секретными данными, правила работы
с данными, которые конфиденциальны, разделение ответственности, наказание за
нарушение режима секретности, список сведений, включающих секретные
данные.
Договор о порядке проведения обмена электронными документами имеет в
себе правила, отражающие решение таких вопросов, как:
• Соглашение с фирмой по обмену документами, подписанными ЭЦП;
• Деление ответственности субъектов, которые задействованы в
процессах ЭДО;
• Отражение очередности подготовки, передачи, оформления, приема,
проверки легальности и законности электронных документов;
• Выражение порядка составления, сертификации и распространения
ключевых данных (логинов, паролей);
• Описание принципа разрешения споров в момент возникновения
конфликта.
По итогу, организационные меры становятся основой, которая соединяет
разные меры защиты в совокупной системе.
Также, для регистрации действий с документами важно создать журнал
регистрации таких действий, а также отражать корректировки документов.
Реализация различных мероприятий по генерации и поддержанию рабочего
состояния СЗИ возлагается на специальную службу компьютерной безопасности.
Служебные полномочия должностных лиц должны определяться таким
образом, чтобы при корректной реализации ими своих функций поддерживалось
деление их полномочий и ответственности.
1.4 Анализ существующих разработок и выбор стратегии
автоматизации
1.4.1 Анализ существующих разработок для автоматизации задачи
Системы учета рабочего времени (СУРВ) являются логичным развитием
систем контроля доступа. СУРВ имеют практически ту же элементную базу