6
Оглавление.
Введение. ........................................................................................................................ 7
Глава 1. Основы информационной безопасности и защиты информации. ............. 9
1.1, Ценность информации. Понятие конфиденциальной информации. ........ 11
1.2, Угрозы, связанные с конфиденциальной информацией. ........................... 18
1.3, Системы защиты конфиденциальной информации.................................... 24
Глава 2. Комплексная система защиты информации на предприятии. ................. 31
2.1, Нормативно-методические основы конфиденциального
документооборота. ................................................................................................ 37
2.2, Организационные методы защиты информации. Разграничение доступа
и порядок работы персонала с конфиденциальной информацией................... 43
2.3, Технические средства обработки конфиденциальных документов. ........ 48
Глава 3. Рекомендации по модернизации систем безопасности предприятия (на
примере ООО «ОЛДИ-К»).......................................................................................... 56
3.1, Оценка текущего состояния систем безопасности предприятия. ............. 56
3.2, Организационные рекомендации. ................................................................ 82
3.3, Технические рекомендации. ......................................................................... 86
3.4, Экономическая эффективность проекта. ..................................................... 95
Заключение. .................................................................................................................. 99
Список сокращений. .................................................................................................. 103
Список литературы. ................................................................................................... 104
Приложения................................................................................................................ 109
7
Введение.
Тема работы: Комплексная система информационной безопасности
предприятия» (на примере ООО "ОЛДИ-К"). Выбор темы обусловлен тем, что в
современной рыночной экономике получение прибыли и экономическая
безопасность деятельности предприятия неразрывно связаны. А
информационная безопасность, является одной из главных частей
экономической безопасности предприятия [24].
Актуальность темы исследования заключается в том, что – практически
любая современная деятельность связана с накоплением, обработкой, хранением
и использованием информации. Информация является одним из главных
ресурсов в деятельности предприятия, компании или Государства, имеет
ценность и определенные сложности, связанные с ее защитой.
Объектом исследования данной работы - является, ООО «ОЛДИ-К».
Предметом исследования - является, построение комплексной системы
защиты информации (КСЗИ), на предприятии оптовой и розничной торговли
компьютерами и комплектующими.
Целью данной выпускной квалификационной работы - является,
разработка рекомендаций по построению комплексной системы защиты
информации на предприятии оптовой и розничной торговли компьютерами и
комплектующими.
Для достижения поставленной цели в данной работе, решаются
следующие задачи:
1. Обзор основных составляющих информационной безопасности;
2. Определение характера информации, требующей отнесения к
конфиденциальной;
3. Рассмотрение современных методов и средств защиты
конфиденциальной информации;
4. Анализ существующей системы безопасности предприятия,
выявление угроз конфиденциальности информации, её распространения и
утечки;
8
5. Оценка систем защиты информации предприятия ООО «ОЛДИ-К»
и рекомендации по её модернизации.
Практическая значимость работы заключается в применении результатов
исследования построения комплексной системы защиты информации, для
решения практических задач по модернизации системы безопасности
предприятия ООО “ОЛДИ-К”.
Нормативно правовая основа работы в первую очередь базируется на
следующих законодательных актах: Конституция Российской Федерации;
Федеральные законы "Об информации, информационных технологиях и о
защите информации", "О персональных данных", "Об электронной подписи", "О
государственной тайне", "О коммерческой тайне"; Гражданский кодекс
Российской Федерации.
В выпускной квалификационной работе были использованы труды
специалистов в области информационной безопасности: Баранова Е., Бирюков
А., Борисов М., Галушкин И., Громыко И., Варлатая С., Гугуева Т., Даниленко
А., Демушкин А., Жарова А., Жук А., Захарова В., Лапонина О., Мельников Д.,
Нестеров С., Смычёк М., Шаньги В., Скрынникова М., Шелупанов А.
Использовались материалы из ГОСТ Р 34.10-2015, ГОСТ Р 34.11-2015,
ГОСТ Р 34.12-2015, ГОСТ Р 34.13-2015 и Стандарт ISO:17799-00.
В области права и делопроизводства были использованы труды: Галахов
В., Кузнецов П., Кузнецов И., Леошкевич Е., Сологуб О.
В технической части использовались труды: Илюшечкин В., К. Дж. Дэйт,
Walsh Terry.
В области управления организацией и персоналом использовались труды:
Верещагина Л., Столяров Г.
Проблема обеспечения информационной безопасности на производстве
освещена источниками в полной мере, литературная база позволяет детально
проработать поставленные задачи. Значимость литературы по данному вопросу
велика и соответствует его актуальности.
9
Глава 1. Основы информационной безопасности и защиты
информации.
Информация – Сведения об окружающем мире и протекающих в нем
процессах, воспринимаемые человеком или специальным устройством [34].
Термин Информация имеет множество определений, включает знания о фактах,
предметах, идеях, событиях, людях, понятиях и пр.
В современном мире информация является одним из самых
дорогостоящих ресурсов. Особо ценится её актуальность и конфиденциальность,
полученная своевременно узким кругом лиц, она может влиять на политические
события, экономическое развитие и просто межличностные отношения.
По способу восприятия информация делится на:
• Визуальную
• Звуковую
• Обонятельную
• Тактильную
• Вкусовую
По форме представления:
• Текстовую
• Графическую
• Числовую
• Видеоряд
• Звуковую
По значению:
• Массовая – информация, содержащая общедоступные тривиальные
сведения, понятные большинству людей.
• Специальная – информация, содержащая специфические данные
понятные узкому кругу специалистов.
• Личная – Информация касающееся определенного человека.
• Секретная – Информация, передающаяся узкому кругу лиц по
защищенным каналам связи.
Информационная безопасность – защищенность информации и
поддерживающей инфраструктуры от случайных или преднамеренных
10
воздействий естественного или искусственного характера, которые могут
нанести неприемлемый ущерб субъектам информационных отношений. По
стандарту ISO/IEC 17799 информационная безопасность — это обеспечение
конфиденциальности, целостности и наличия информации [16].
Информационная безопасность предприятия — это состояние
защищённости корпоративных данных, при которой обеспечивается их
конфиденциальность, целостность, аутентичность и доступность [33].
Таким образом, в задачи комплексной системы защиты информации
входит не только сохранение её конфиденциальности – недопущение
несанкционированного распространения, но и обеспечение её целостности –
защита от потерь во время обработки и передачи, а также обеспечение
доступности – создание бесперебойной работы массивов хранения данных и
каналов связи. Данная система должна безотказно функционировать и в
стандартных рабочих условиях, и в экстремальных – при атаках
злоумышленников, отключении электроснабжения, стихийных бедствиях и пр.
Поэтому, на крупных предприятиях, как правило, используется
комплексная система защиты информации, включающая в себя и работу с
персоналом (нормативно-методические документы), и физическую охрану
объектов, и технические средства противодействия промышленному шпионажу,
и криптографические системы, и многое другое [32].
Для правильного выбора стратегии защиты информации необходимо
следующее:
• Провести оценку защищаемой информации.
• Проанализировать потенциальные угрозы данной информации.
• Определить наиболее вероятные каналы утечки.
• Провести оценку состояния существующей модели безопасности
(если таковая уже существует).
• Провести обзор существующих мер и средств защиты,
необходимых для решения конкретных задач.
• Провести приблизительную оценку необходимых средств защиты.
• Внести коррективы в существующую систему информационной
безопасности, согласно аналитическим наработкам.
11
Оптимальным считается построение такой модели комплексной системы
защиты информации, затраты на которую не превышают убытков от утечки,
порчи или распространения данной информации.
Следовательно, в первую очередь необходимо понять, какая информация
нуждается в защите.
1.1, Ценность информации. Понятие конфиденциальной информации.
Ценность информации определяется прежде всего потенциальными
убытками, которые может понести владелец, в результате её утери, искажения,
или несанкционированного доступа третьих лиц.
Зачастую, это не только прямые финансовые потери, но и косвенные
убытки, такие как недополученная выгода, ущерб репутации компании, потеря
научных разработок и пр.
Защищаемую информацию принято разделять на секретную и
конфиденциальную.
Секретная информация – сведения, содержащие государственную тайну.
Разглашение этой информации может нанести урон экономическим,
политическим и иным интересам государства.
Термин «конфиденциальный» означает такой, «не подлежащий огласке;
тайный, доверительный; чисто частный, секретный. Иначе говоря, по
толкованию словарей, конфиденциальная информация - ничто иное, как
секретные сведения, не подлежат свободному распространению. В то же время
далеко не все сведения о личной жизни составляют тайну. В частности, не секрет
сведения о семейном положении или место жительства.
Отметим, что по результатам проведенного нами анкетирования 35%
практических работников, осуществляющих уголовное производство и более-
менее ориентируются в понятии «семейная» и «профессиональная тайна», не
знают, что понимать под термином «личная тайна». Считаем целесообразным
подробнее исследовать термин «личная жизнь» по проблеме определения
степени допустимого вмешательства судебных и правоохранительных органов в
эту деликатную сферу.
Отметим, что в научной литературе нет единства мнений относительно
содержания понятия «личная тайна». По убеждению А. А. Фатьянова, личная
12
тайна не поддается классификации, так как она базируется на неповторимости
каждого человека. Личную тайну в основном составляют сведения о тех фактах
или событиях, которые могут исказить образ личности, в котором она хотела бы
предстать перед обществом [40, c. 14]. Добавим от себя и поставить под
сомнение доброе имя и репутацию.
Конечно, трудно не согласиться с тем, что каждый человек - неповторимая
личность и самостоятельно определяет, какую информацию о себе она хотела бы
сохранить в тайне. Однако считаем, что важно определить, какие сведения могут
быть предметом личной тайны. К такого рода информации следует отнести
данные о: факты биографии человека; состояние здоровья; имущественное
положение; род занятий и поступки; взгляды, оценки, убеждения. С указанным
суждением согласны и практики. В частности, предметом личной тайны, по
мнению анкетируемых, есть сведения о: состояние здоровья (37%), факты
биографии человека (20%), взгляды, оценки, убеждения (19%), имущественное
положение (15%).
Также некоторые из них называют тайну общения. Действительно, тайна
переписки, телефонных разговоров, почтово-телеграфной корреспонденции и
других сообщений теснейшим образом связана с охраной тайны личной жизни.
В то же время оно является дискуссионным в теории уголовного процесса. По
мнению А. А. Фатьянова, нормы, регламентирующие эти вопросы, составляют
самостоятельный правовой институт, отличный от института личной тайны -
тайну связи. Ее суть заключается в создании условий, исключающих
возможность получения информации, передаваемой по каналам связи, любыми
третьими лицами [40, c. 13]. Рассматриваемую тайну И. Л. Петрухин, наоборот
считает необходимым относить к профессиональным, а не в личные тайны,
потому что клиент доверяет почте и телеграфу не содержание корреспонденции
и разговоров по телефону, а только пересылку корреспонденции (без
ознакомления с ней) или техническое обеспечение телефонных разговоров (без
их прослушивания) [41 c. 16].
Считаем, что такая позиция вызывает возражения по следующим
соображениям: во-первых, несмотря на указанные признаки, присущие этому
виду тайны, следует отметить, что профессиональная тайна - это, например,
13
медицинская тайна, тайна исповеди, тайна усыновления, тайна нотариальных
действий и регистрации актов гражданского состояния, тайна судебной защиты
и представительства и тому подобное.
Это тайны, доверенные представителям определенных профессий с целью
осуществления (защиты) своих прав и законных интересов. Ее содержание
составляет личная тайна, что доверенное их носителями лицам определенной
профессии: врачу, священнику и т.п. Поэтому отличительным признаком
профессиональной тайны от личной - является наличие субъекта, в силу
выполнения своих должностных обязанностей имеющего доступ к
соответствующим сведений. В первую очередь это относится к таким видам
коммуникации, как например, телеграф или пейджинговая связь. Телеграфист (в
первом случае) или оператор (во втором) невольно становятся носителями
сведений личного характера, ведь передача сообщения, учитывая технические
особенности данных видов связи, допускает ознакомления с его содержанием.
Во-вторых, в тайне переписки можно выделить две стороны: тайну
содержания и тайну самого факта почтового или телеграфного отправления.
Даже если сотрудникам почты или телеграфа недоступно содержание
корреспонденции, сам факт ее отправки в любом случае не является для них
тайной.
Учитывая изложенное, приходим к выводу, что личная тайна - это
сведения о состоянии здоровья, о фактах биографии лица, о взглядах, оценки,
убеждения, тайна творчества и общения, тайна интимных отношений, тайна
жилья, дневников, личных бумаг. Эта тайна является личным достоянием и
ограничена в доступе. Информация о личной жизни граждан с ограниченным
доступом может быть получена заинтересованным органом только в случаях,
прямо предусмотренных законом, на законных основаниях и с соблюдением
гарантий дальнейшего неразглашении.
Итак, информацию о личной жизни граждан по степеням ее доступности
органам следствия и суда, можно разделить на три группы: закрытые данные,
данные с ограниченным доступом и данные, которые не составляют собой
тайны. Данные о личной жизни, не представляют собой тайны, т.к. уголовный
процессуальный закон не признает их объектом охраны. Это сведения о месте
14
жительства, семейное положение, возраст и т. д. Для информации с
ограниченным доступом, содержащих содержание врачебной тайны, тайны
усыновления, нотариальной и банковской тайн, тайны переписки, почтовых и
иных сообщений, телефонных разговоров и для информации, закрытой в
доступе, российское законодательство берет под охрану, устанавливая
специфический правовой режим доступа.
Конфиденциальность информации - обязательное для выполнения лицом,
получившим доступ к определенной информации, требование не передавать
такую информацию третьим лицам без согласия ее обладателя [2]. Это сведения,
содержащие коммерческую тайну, информацию, касающуюся личной жизни и
деятельности граждан (так называемые персональные данные),
профессиональную тайну (врачебную, нотариальную и пр., связанную с
профессиональной деятельностью). Одним словом – информация, право на
доступ к которой имеет ограниченный круг лиц. При этом, российское
законодательство разрешает владельцу информации самостоятельно определять,
является ли та или иная информация конфиденциальной [30].
В Федеральном законе "Об информации, информационных технологиях и
о защите информации" по поводу конфиденциальности информации говориться
следующее:
Статья 2.7 конфиденциальность информации - обязательное для
выполнения лицом, получившим доступ к определенной информации,
требование не передавать такую информацию третьим лицам без согласия ее
обладателя.
Статья 5.2 Информация в зависимости от категории доступа к ней
подразделяется на общедоступную информацию, а также на информацию,
доступ к которой ограничен федеральными законами (информация
ограниченного доступа).
Статья 6.3 Обладатель информации, если иное не предусмотрено
федеральными законами, вправе: разрешать или ограничивать доступ к
информации, определять порядок и условия такого доступа. [2].
Понятие конфиденциальности используется повсеместно и практически во
всех областях, чаще всего встречается в коммерческих и государственных
15
структурах. Конфиденциальную информацию можно разделить на предметную и
служебную.
К предметной информации можно отнести информацию о положение
объектов, чертежи устройств и другие сведения, относящиеся к сведениям об
областях физического мира.
К служебной информации относятся логин – пароли, параметры работы
систем обработки информации, графики смен и прочие данные, с помощью
которых можно получить доступ к предметной информации.
К защищаемой информации относят информацию с ограниченным
доступом:
• Государственную тайну
• Коммерческую тайну
• Банковскую тайну
• Профессиональную тайну
• Служебную тайну
• Персональные данные
Всегда имеются документы, утечка содержания которых может нанести
вред владельцу, это может быть утрата перспективных прибылей, потеря права
на разработку, потеря престижа и репутации, и прочее. Такая информация и
содержащие ее документы считаются конфиденциальными.
Также, на любом крупном предприятии циркулирует достаточно большой
объем персональных данных – личные дела сотрудников, необходимые для
работы кадровых служб. По российскому законодательству эта информация
также считается конфиденциальной и подлежит обязательной защите [22].
Вся информация ограниченного доступа, как правило, принадлежит к
одному из видов тайны. Документы, содержащие такую информацию, делятся на
секретные и несекретные. Секретными являются документы, которые в
соответствии с законодательством содержат информацию, относящуюся к
государственной тайне. Остальные документы, содержащие информацию
ограниченного доступа, но не содержащие информацию, относящуюся к
государственной тайне, считаются конфиденциальными.