26
• Внутреннюю документацию, с четко прописанными положениями и
обязательствами по защите информации. К такой документации можно отнести
должностные инструкции, правила внутреннего трудового распорядка, договора
и контракты, заключаемые с сотрудниками предприятия, и другие
организационные документы.
• Регулярную работу с персоналом – разъяснение сотрудникам (в том
числе, не связанным с информацией ограниченного доступа) степени правовой
ответственности за разглашение информации, несанкционированное
распространение, уничтожение или фальсификацию. Отдельно стоит отметить
работу кадрового аппарата с потенциальными работниками, в их задачу входит
не только проверка на благонадежность вновь набираемых сотрудников
(зачастую, при содействии службы безопасности предприятия), но и разъяснение
им добровольно принимаемых на себя обязательств в связи с работой с
информацией ограниченного доступа, а также персональной ответственности
при нарушении этих обязательств [12].
Организационная и организационно-документационная часть включают в
себя:
• Формирование регламентов работ и должностных инструкций для
службы безопасности, кадровых служб. Организация слаженной работы этих
подразделений.
• Составление перечня информации, относимой к конфиденциальной,
его регулярный пересмотр и актуализация. Ведение учета конфиденциальных
документов и носителей.
• Разработка методов отбора персонала для работы с информацией
ограниченного доступа, методик его обучения и проверки компетентности.
• Разработка и внедрение технологий обработки и хранения
бумажных и электронных носителей, содержащих информацию ограниченного
доступа.
• Разработка систем защиты при проведении совещаний, переговоров,
работе со СМИ, рекламными агентствами и пр. При необходимости, организация
сертификации выделенных помещений в специальных надзорных органах.
Инженерно-техническая часть включает в себя:
27
• Комплексы и системы физической охраны объектов от
несанкционированного доступа злоумышленников – контрольно-пропускные
пункты, заборы, стальные двери, кодовые замки, сейфы и пр.
• Вспомогательные системы охраны территории – средства
видеонаблюдения, оповещения, сигнализации и пр.
• Системы противопожарной охраны и оповещения.
• Системы обнаружения средств скрытого наблюдения – видео-,
аудио мониторинга, передающих устройств и пр. технического оборудования
промышленного шпионажа.
• Системы обнаружения скрытого вноса/выноса объектов – рамки,
металлоискатели и другая досмотровая техника.
Программная часть включает в себя:
• Системы защиты ПО от вредоносного кода – различные
антивирусы, межсетевые экраны и пр.
• Программное разграничение уровней доступа к базам данных,
отдельным файлам и электронным документам – как встроенными средствами
операционных систем (например, парольная защита и создание групп
пользователей с определёнными правами), так и другими программными и
программно-аппаратными средствами (например, электронные ключи для входа
в профиль базы данных).
• Программное обеспечение физической защиты – базы данных для
кодовых замков, дверей на магнитных ключах и биометрических
идентификаторах.
Криптографическая часть включает в себя:
• Программно-аппаратные системы защиты данных –
шифрование/расшифрование документов, баз данных, обеспечение их
целостности (например, вычислением хэш-функций).
• Программно-аппаратные системы защиты каналов связи – создание
закрытых каналов для обмена конфиденциальной информацией (например, по
незащищенным каналам электронной почты).
• Идентификация и аутентификация на основе криптографических
систем – сюда можно отнести электронно-цифровую подпись под документами,
28
которая получает все большее распространение. Помимо однозначной
принадлежности, она позволяет избежать искажения и фальсификации
переданной информации [39].
Уровень защиты конфиденциальной информации определяется системой
количественных и качественных показателей, которые обеспечивают решения
задачи защиты конфиденциальной информации на основе норм и требований
технической защиты информации. Минимально необходимый уровень защиты
конфиденциальной информации обеспечивают ограничительными и фрагмент
ними мерами противодействия опасной угрозе. Повышение уровня защиты
конфиденциальной информации достигается наращиванием технических мер
противодействия множества угроз.
Порядок расчета и инструментального определения зон безопасности
конфиденциальной информации, реализация мероприятий по технической
защите конфиденциальной информации, расчета эффективности защиты и
порядка аттестации технических средств обеспечения информационной
деятельности, рабочих мест (помещений) устанавливаются нормативными
документами по технической защите информации.
Техническое задание на создание комплексной системы защиты
конфиденциальной информации в информационной системе является
организацийнотехничним документом для выполнения работ по обеспечению
защиты конфиденциальной информации в системе.
Техническое задание на комплексную систему защиты конфиденциальной
информации, разрабатывается в случае необходимости разработки или
модернизации комплексной системы защиты конфиденциальной информации,
существующей (функционирующий) информационной системы. В случае
разработки комплексной системы защиты конфиденциальной информации в
процессе проектирования информационной системы, допускается оформление
требований защиты конфиденциальной информации в информационной системе,
в виде отдельного (частичного) технического задания, дополнение к общему
техническому заданию на информационную систему или раздела общего
технического задания на информационную систему.
29
В техническом задании на комплексную систему защиты
конфиденциальной информации, излагаются требования к функциональному
составу, порядку разработки и внедрения технических средств, обеспечивающих
безопасность информации в процессе ее обработки в информационной системе.
Дополнительно надо изложить требования к организационным, физическим и
другим мерам защиты, реализуемых вне информационной системы в дополнение
к комплексу программно-технических средств защиты конфиденциальной
информации.
Перечень требований по защите конфиденциальной информации, которые
включаются в техническое задание на комплексную систему защиты
конфиденциальной информации, может быть для каждой конкретной
информационной системы как расширенный, так и сокращенный. Требования
должны предусматривать разработку и использование современных
эффективных средств и методов защиты, которые дают возможность
обеспечения выполнения этих требований с наименьшими материальными
затратами.
Информация может хранится не только на физических носителях, но и
находится в электромагнитных полях, злоумышленники могут считать
информацию через каналы электросети или через вибрации здания. Но, как
правило, такие средства считывания информации крайне ограничены по
эффективному расстоянию использования. Следовательно, к основным
средствам защиты информации стоит отнести ограничение доступа, как
физического, так и программного. При необходимости используются
криптографические методы защиты – информация шифруется, снабжается хэш-
суммами (обеспечение целостности), подписывается электронно-цифровой
подписью (ЭЦП) [49].
Самым слабым звеном в создании современной системы безопасности и
защиты информации по-прежнему остается человеческий фактор. Поэтому, на
крупных предприятиях уделяется повышенное внимание подбору персонала, его
мотивации, обучению, инструктажу и корпоративной этике. Особо стоит
отметить разработку нормативно-правовых и организационных материалов по
защите информации для сотрудников, работающих с конфиденциальными
30
данными. Грамотно составленные, они упорядочивают работу, снижают риск
утечки информации и четко прописывают систему взысканий.
В основном, защита информации сводиться к тому, чтобы средства,
затраченные на доступ к защищенной информации, превосходили ее ценность, а
за время, потраченное на доступ и расшифровку, информация утратила свою
актуальность. Не стоит забывать и о том, что средства затраченные на защиту
информации, должны адекватно окупаться ее ценностью.
31
Глава 2. Комплексная система защиты информации на предприятии
Компания ООО “ОЛДИ-К” является частью группы компаний,
занимающихся торговлей компьютерами, периферийными устройствами,
комплектующими для компьютеров и периферийных устройств, а также
занимается торговлей бытовой техникой и мелкой электроникой различного
назначения. Компания ООО “ОЛДИ-К” присутствует на рынке электроники
более двадцати лет, и имеет разветвленную сеть магазинов и интернет-площадку
для сбыта продукции. По меркам Интернет-торговли – это очень много.
Компания стремится расширять ассортимент и постоянно работает над
качеством своей продукции.
Компания ООО “ОЛДИ-К” имеет собственное производство
компьютерной техники, и выпускает серийную продукцию, в которую входят
так называемая «100 серия» - ПК для офисов (компьютеры стандартной
комплектации, оптимальные для работы с офисными приложениями), «200
серия» и «500 серия» - мультимедийные компьютеры, предназначенные для
организации домашних развлекательных центров (web-серфинг, просмотр
интернет ТВ и пр.), «300 серия» - ПК для дома (полноценный компьютер,
предназначенный для домашнего использования, комплектуется расширенным
аппаратным обеспечением по сравнению с предыдущими сериями) и «700
серия» – игровые машины (ПК имеющие максимальную программно-
аппаратную комплектацию: мощный процессор, увеличенный объем ОЗУ,
новейшие видеокарты и пр.).
Также выпускается серверное оборудование различного назначения, от
построения небольших домашних сетей до оснащения для крупных
предприятий, как правило, такое оборудование собирает под заказ, для решения
конкретных задач. Отдельное направление компании занимается сборкой
персональных компьютеров по индивидуальным заказам, как для домашнего
использования, так и узкоспециальные (для работы с графическими
приложениями, для работы с криптовалютой, демонстрационные выставочные
стенды и пр.)
32
ООО "ОЛДИ-К" зарегистрирована по адресу: 109390, г Москва, улица
Малышева, 20. Генеральный Директор - Филимончук Павел Иванович.
Основным видом экономической деятельности является "производство
компьютеров и периферийного оборудования". ОБЩЕСТВО С
ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ "ОЛДИ-К" присвоен ИНН
7724541800, КПП 772301001, ОГРН 1057746741392 , ОКПО 77470377.
Действует с 21.04.2005. Далее в таблице 1, представлена реквизиты компании.
Таблица 1. Реквизиты компании ООО "ОЛДИ-К"
Юридический адрес:
Юридический адрес: 109316, г. Москва, Волгоградский проспект, д.
47
Физический адрес:
109390, г. Москва, ул. Малышева, д. 20
ОГРН
?
1057746741392 присвоен: 21.04.2005
ИНН
?
7724541800
КПП
?
772301001
ОКПО
?
77470377
ОКТМО
?
45395000000
Расчетный счет:
40702-81000-00000-00528
Также ООО "ОЛДИ-К" работает еще по 81 направлениям. Размер
уставного капитала 100 000,00 руб. Организация насчитывает 0 филиалов. Имеет
0 лицензии. Основной вид деятельности:
производство офисной техники и оборудования (кроме
компьютеров и периферийного оборудования);
оптовая и розничная торговля компьютерной и бытовой техникой,
продуктами питания и быта;
деятельность ресторанов и кафе с полным ресторанным
обслуживанием, кафетериев, ресторанов быстрого питания и самообслуживания,
деятельность ресторанов и услуги по доставке продуктов питания;
консультирование по вопросам коммерческой деятельности и
управления;
научные исследования и разработки в области естественных и
технических наук прочие;
деятельность рекламных агентств;
33
деятельность по организации и проведению азартных игр и
заключения пари.
Компания ООО “ОЛДИ-К” включает в себя несколько структурных
единиц:
• Главный офис – центральный узел, обеспечивающий работу всего
предприятия. Там находятся менеджеры (занимающиеся приемом и
оформлением заказов для производства, а также – закупкой комплектующих)
бухгалтерия, кадровая служба, управленческий аппарат и пр.
• Центральный склад – обеспечивает хранение и оперативную выдачу
комплектующих на производство и конечной продукции в магазины.
• Производственный отдел – занимается сборкой и тестированием
конечной продукции.
• Транспортный отдел – отвечает за логистику между центральным
складом, промежуточными складами, магазинами и доставку клиентам готовой
продукции.
• Центральный гарантийный отдел – осуществляет прием и ремонт
вышедшей из строя продукции, занимается заменой бракованных
комплектующих – обеспечивает гарантийную и пост-гарантийную поддержку
пользователей продукции.
• Магазины – осуществляют торговлю готовой продукцией, а также –
прием и выдачу заказов.
Одним из ведущих направлений кампании ООО “ОЛДИ-К” является
производственный отдел.
Производственный отдел особого подразделения «Дзержинский»
включает в себя несколько подотделов:
• Отдел заказов – менеджеры, занимаются приемом и оформлением
заказов, поступающих на производство из магазинов и центрального офиса.
• Склад производства (промежуточный склад) – осуществляет
промежуточное оформление, хранение и движение комплектующих, готовой и
неисправной продукции между Центральным складом, производством,
Центральным гарантийным отделом и гарантийным отделом производства.
34
• Гарантийный отдел – производит оперативную замену бракованных
комплектующих, в моделях, собираемых на производстве.
• Цех – занимается сборкой готовой продукции из комплектующих,
установкой программного обеспечения, комплектацией и тестированием.
• ОТК – отдел технического контроля, занимается конечной
проверкой продукции перед отгрузкой на склад производства.
Для понимания циркуляции информационных потоков на предприятии,
важно понимать, как работает предприятие. В центральный офис поступает заказ
на персональный компьютер для частного клиента или партию машин для
оптового клиента, после оформления заказа проверяется наличие
комплектующих на центральном складе. Все комплектующие, как и готовая
продукция, заносятся в торговую базу, по ней отслеживается необходимость
закупки недостающих комплектующих. Затем формируется заказ на сборку,
регистрируется в торговой и сервисной базе и передается на производство,
согласуются сроки сборки и отгрузки конечной продукции исходя из требований
клиента и возможностей производства. Менеджеры производства размещают
заказ в плане работ производства и организуют перемещение комплектующих
для заказа на промежуточный склад производства за день до сборки.
В день сборки, комплектующие с промежуточного склада, перемещают на
производство, ответственный (Бригадир) проверяет состав заказа с
поступившими комплектующими и распределяет работу между инженерами-
сборщиками. Инженеры-сборщики осуществляют сборку в соответствии с
заказом и пожеланиями клиента, после чего компьютеры выставляются в
тестовую где происходит установка программного обеспечения, тестирование
компьютеров, комплектация и упаковка. Затем компьютеры проходят
выборочную проверку отделом ОТК. После чего передаются на промежуточный
склад производства, где продукция заносится в базу, передается на центральный
склад и оттуда транспортным отделом доставляется клиенту или в магазины.
Схему организационной структуры управления компанией, можно увидеть на
рисунке 1.
35
Рисунок 1. Схема организационной структуры управления компанией
ООО “ОЛДИ-К”.
По торговой базе компании ведется учет поступления и расхода товара,
перемещение товара по внутренним складам компании (магазины, центральный
склад, производство). При создании позиции товара (комплектующих),
обязательно указывается его стоимость и количество. При формировании
позиции товара (готовой продукции), указывается какие комплектующие входят
в состав заказа, их количество, количество готовой продукции в заказе,
стоимость заказа, а также менеджер, под чьей учетной записью был создан заказ.
В сервисной базе компании отображается движение продукции внутри
компании. Ведется готовая продукция, осуществляется присвоение серийных
номеров каждой единице готовой продукции и формируется состав заказа. В
базе регистрируется кто и когда вносил изменения. Аппаратная и программная
схемы представлены на рисунке 2 и 3.