8
Оглавление
Введение ..................................................................................................................... 10
1 Аналитическая часть ....................................................................................... 13
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения) .............................................. 13
1.1.1 Общая характеристика предметной области ................................... 13
1.1.2 Организационно-функциональная структура предприятия .......... 15
1.2 Анализ рисков информационной безопасности .................................... 20
1.2.1 Идентификация и оценка информационных активов ..................... 20
1.2.2 Оценка уязвимостей активов ............................................................ 25
1.2.3 Оценка угроз активам ........................................................................ 31
1.2.4 Оценка существующих и планируемых средств защиты .............. 34
1.2.5 Оценка рисков ..................................................................................... 48
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ................................................................. 50
1.3.1 Выбор комплекса задач обеспечения информационной безопасности
50
1.3.2 Определение места проектируемого комплекса задач в комплексе
задач предприятия, детализация задач информационной безопасности и защиты
информации ........................................................................................................... 52
1.4 Выбор защитных мер ............................................................................... 57
1.4.1 Выбор организационных мер ............................................................ 57
1.4.2 Выбор инженерно-технических мер ................................................ 62
2 Проектная часть ............................................................................................... 65
2.1 Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия ........................................... 65
2.1.1 Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия .................................................................................... 65
9
2.1.2 Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия…..73
2.2 Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ............ 83
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия ........................................... 83
2.2.2 Контрольный пример реализации проекта и его описание ........... 94
3 Обоснование экономической эффективности проекта .............................. 103
3.1 Выбор и обоснование методики расчёта экономической эффективности
103
3.2 Расчёт показателей экономической эффективности проекта ............ 109
Заключение ............................................................................................................. 116
Список используемой литературы .................................................................... 119
Приложение ............................................................................................................ 121
10
Введение
Система ИБ включает в себя объединённый комплекс административных
программно-технических мер по реализации безопасности информационных
ресурсов. Для создания системы ИБ основной составляющей становится
административная часть системы, включающая в себя:
• Методики реализации ИБ, входящие в систему администрирования
и обеспечивающие контроль работы самой системы ИБ;
• Политику ИБ, определяющую главные положения и сферу влияния
системы ИБ;
• Политику безопасного применения информационных сервисов,
определяющих конкретные требования реализации безопасности компонентов
IT-инфраструктуры безопасности;
• Методики поддержания политик безопасности, которые включают в
себя средства и мероприятия по созданию требований политик безопасности и
отслеживания их выполнения (создаются на этапе реализации системы ИБ).
Процедуры и методики реализации ИБ поддерживают защиту
информационной инфраструктуры от различных IT-рисков методом реализации
ответных контрмер.
Для обеспечения надлежащей защиты конфиденциальной информации в
компании используются сертифицированные средства. Например, средства
защиты от несанкционированного доступа (НСД), межсетевые экраны и средства
построения VPN, средства защиты информации от утечки за счет ПЭМИН и
прочие.
Организация информационной безопасности на локальных станциях
осуществляется целым комплексом мер. В него входит:
• Наличие функционирующего антивируса со всеми компонентами
защиты, с ежедневно обновляющимися антивирусными базами.
• Наличие всех обновлений операционной системы Microsoft Windows
10, а также еженедельная синхронизация с сервером обновлений и установка
новых.
11
• На серверах предприятия также установлены антивирусы и в
комплексе с настроенными политиками безопасности, в том числе
разграничение доступа при удаленной работе, информационная безопасность
находится на должном уровне.
• Наличие сетевого экрана, встроенного в маршрутизаторы, дает
хорошую гарантию от несанкционированного проникновения извне. Для защиты
информации от НСД используются аппаратно-программные средства в том
числе USB-rutoken.
Темой дипломной работы является модернизация антивирусной защиты
в АО «ЭК «Восток».
Целью данной работы является разработка мероприятий, позволяющих
модернизировать систему антивирусной защиты АО «ЭК «Восток».
В соответствии с целями работы в ней поставлены следующие задачи:
• анализ предприятия и информационных потоков,
функционирующих между отделами в ходе повседневной деятельности;
• выбор комплекса задач обеспечения информационной безопасности;
• обоснование организационно-административных мер по
модернизации существующей системы защиты информации;
• выбор программных и инженерно-технических мер по защите
информации;
• выбор и обоснование методички расчета экономической
эффективности предлагаемых мер.
Объект работы – АО «ЭК «Восток», предмет – комплекс антивирусной
защиты информационной системы предприятия.
В первой главе анализируется деятельность компании, выявляются
информационные активы, подлежащие защите, риски и угрозы информационной
безопасности. Рассматривается существующая система информационной
безопасности, производится выбор комплекса задач и определение
организационных и инженерно-технических мер.
12
Во второй главе приведена правовая основа обеспечения ИБ,
организационно-административные меры, описана структура программно-
аппаратного комплекса и контрольный пример реализации проекта.
В третьей главе оценена экономическая эффективность внедрения
разработанной системы и срок ее окупаемости.
В процессе работы была применена совокупность методов экономико-
статистического анализа, методы синтеза и анализа экономической информации.
Также в нашем исследовании нашли применение современные концепции
различных школ оценки системы информационной безопасности. При
написании дипломного проекта были применены такие методы научного
исследования, как изучение научной литературы по теме исследования,
нормативно-правовой базы, аналитический и сравнительный методы.
13
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
Акционерное общество «Энергосбытовая компания «Восток» (АО «ЭК
«Восток») было образовано в 2001 году, и стало одним из первых
негосударственных участников оптового рынка электроэнергии (ОРЭ),
созданного в процессе реформирования электроэнергетической отрасли России.
В 2003 — 2006 годах Энергосбытовая компания «Восток» стала снабжать
электроэнергией крупных потребителей — Таганрогский металлургический
комбинат, Северский трубный завод, Синарский трубный завод, «Ависма» и др.
1 ноября 2012 года в результате реорганизации в состав АО «ЭК «Восток»
вошли ОАО «Тюменьэнергосбыт» (гарантирующий поставщик юга Тюменской
области и г. Сургута) и ОАО «Энергосбыт» (гарантирующий поставщик г.
Кургана и Курганской области). 1 апреля 2016 года прошло присоединение
гарантирующего поставщика электроэнергии г. Ноябрьска — Северной
энергетической компании — к управлявшей организации — Энергосбытовой
компании «Восток». Присоединенные компании в результате реорганизации
стали филиалами, но при этом сохранили существовавшие бренды.
Компания успешно работает в энергосбытовом секторе уже более десяти
лет и в настоящее время поставляет электроэнергию на территории десяти
субъектов Российской Федерации. АО «ЭК «Восток» является гарантирующим
поставщиком на территории г. Кургана и Курганской области («Энергосбыт»);
на территории г. Тюмени и юга Тюменской области («Тюменьэнергосбыт»); на
территории г. Сургута (Сургутский филиал); на территории г. Ноябрьска
(Ноябрьский филиал).
В состав холдинга «Восток» входят следующие дочерние и зависимые
общества: ООО «НЭСКО» (гарантирующий поставщик на территории г.
Нижневартовска, ХМАО-Югра), АО «Оренбургсельэнергосбыт»
(гарантирующий поставщик на территории ряда муниципальных образований
14
Оренбургской области), ООО «ЕРЦ «Прогресс» (г. Курган), ОАО «ТРИЦ» (г.
Тюмень), АО «ЕРИЦ ЯНАО» (г. Салехард). На территории юга Тюменской
области также действует филиал «Энергоучет Тюмень», оказывающий
энергосервисные услуги.
За годы работы оказаны услуги по выводу на оптовый рынок
электроэнергии 30 предприятиям и организациям, в числе которых — 13
гарантирующих поставщиков. 40 АИИС КУЭ аттестованы по требованиям ОАО
«АТС» с выдачей Акта соответствия техническим требованиям ОРЭ.
Специалисты компании провели десятки обучающих семинаров и сотни
консультаций для своих клиентов.
АО «ЭК «Восток» обеспечивает электроэнергией свыше 1 000 000
абонентов — физлиц и почти 30 000 предприятий и организаций с суммарным
отпуском более 12 млрд. кВтч в год.
Энергосбытовой холдинг «Восток» входит в десятку крупнейших
сбытовых организаций первой ценовой зоны оптового рынка электроэнергии
(зона Европы и Урала). Основные характеристики (показатели эффективности)
видов деятельности АО «ЭК «Восток» приведены в таблице 1.1.
Таблица 1.1
Основные характеристики (показатели эффективности) видов
деятельности АО «ЭК «Восток».
№ пп
Наименование показателя
На 01.01.2018 г.
1.
Стоимость чистых активов, тыс. руб.
45 394,00
2.
Отношение суммы привлеченных средств к капиталу
и резервам, %
1 997,47
3.
Отношение суммы краткосрочных обязательств к
капиталу и резервам, %
130,57
4.
Покрытие платежей по обслуживанию долгов, %
17,72
5.
Уровень просроченной задолженности, %
-
6.
Оборачиваемость дебиторской задолженности, раз
0,22
7.
Доля дивидендов в прибыли, %
-
8.
Производительность труда, тыс. руб. / чел.
768
9.
Амортизация к объему выручки, %
0,081
10.
Количество работающих, человек
148
15
1.1.2 Организационно-функциональная структура предприятия
Организационно-штатная структура АО «ЭК «Восток» схематично
показана на рисунке 1.1.
Руководитель
первый заместитель
Руководителя
заместитель
Руководителя
главный бухгалтер
Бухгалтерия
Конструкторские
подразделения
Производственные
подразделения
Пресс-служба
Юридическая служба
Организационно-
распорядительный
отдел
ИТ-отдел
АХО
Отдел кадров
Отдел МТО
Отдел
документооборота
Отдел торгов
Рис. 1.1. Организационно-штатная структура АО «ЭК «Восток»
Как видно из представленной схемы, во главе структуры стоит
руководитель, который выполняет общее руководство предприятием. Все
остальные отделы подчинены руководителю через его заместителей.
Руководитель управляет деятельностью АО «ЭК «Восток» на основе
единоначалия, несет персональную ответственность за выполнение
возложенных на него функций.
Руководитель:
а) без доверенности действует от имени АО «ЭК «Восток»,
представляет его интересы в органах государственной власти и местного
16
самоуправления и во взаимоотношениях с юридическими и физическими
лицами;
б) открывает лицевые счета в территориальных органах Федерального
казначейства по учету ассигнований из федерального бюджета и средств,
полученных от оказания платных услуг и осуществления иной приносящей
доход деятельности, в валюте Российской Федерации, счета по учет средств в
иностранной валюте в соответствии с законодательством Российской
Федерации;
в) организует, направляет и обеспечивает финансово-хозяйственную и
административную деятельность АО «ЭК «Восток»;
г) распоряжается в установленном порядке имуществом и средствами
АО «ЭК «Восток», обеспечивает эффективное использование ресурсов АО «ЭК
«Восток» для решения производственных и социальных задач;
д) руководит организационно-техническим обеспечением работы АО
«ЭК «Восток»;
е) от имени АО «ЭК «Восток» заключает договоры, выдает
доверенности, совершает иные не противоречащие законодательству
Российской Федерации действия;
ж) утверждает положения, издает приказы и распоряжения, дает
указания, обязательные для всех работников АО «ЭК «Восток»;
з) утверждает структуру и штатное расписание АО «ЭК «Восток»,
положения о его структурных подразделениях;
и) распределяет обязанности между своими заместителями;
к) в установленном порядке назначает на должность и освобождает от
должности работников АО «ЭК «Восток», определяет их обязанности,
заключает, изменяет и расторгает с ними трудовые договоры;
л) применяет в отношении работников АО «ЭК «Восток» меры
поощрения и налагает на них дисциплинарные взыскания в соответствии с
законодательством Российской Федерации;
17
м) в соответствии с трудовым законодательством Российской Федерации
устанавливает работникам АО «ЭК «Восток» дополнительные отпуска,
сокращенный рабочий день;
н) организует проведение аттестации, проведение профессиональной
подготовки, переподготовки, повышение квалификации работников АО «ЭК
«Восток»;
о) создает для решения стоящих перед АО «ЭК «Восток» задач комиссии
и рабочие группы, утверждает положения о них;
п) устанавливает порядок и обеспечивает условия работы с данными
работников АО «ЭК «Восток» не несет ответственность за их разглашение;
р) обеспечивает в пределах своей компетенции защиту сведений,
составляющих государственную и иную охраняемую законом тайну;
с) определяет состав и объем сведений, составляющих служебную или
коммерческую тайну, а также порядок их защиты и соответствии с
законодательством Российской Федерации;
т) обеспечивает проведение мероприятий по гражданской обороне и
мобилизационной подготовке в соответствии с законодательством Российской
Федерации;
у) осуществляет непосредственное руководство системой обеспечения
пожарной и антитеррористической безопасности на территории АО «ЭК
«Восток» и несет ответственность за несоблюдение требований пожарной и
антитеррористической безопасности в соответствии с нормативными правовыми
актами в области пожарной и антитеррористической безопасности,
разрабатывает и осуществляет меры по обеспечению пожарной и
антитеррористической безопасности;
ф) осуществляет иные полномочия в соответствии с законодательством
Российской Федерации.
Отдел информационных технологий предназначен для внедрения и
использования информационных технологий в учебные, научные,
административные и хозяйственные процессы компании.