81
Рис. 16. Запрос пароля к защищенному контейнеру в Secret Disk Reader
После окончания работы с контейнером его можно отключить через вызов
контекстного меню на виртуальном диске. Закрытый контейнер можно вернуть
отправителю или передать другим пользователям для дальнейшей работы.
Рис. 17. Работа с защищенными контейнерами в Secret Disk Reader
На рисунках 18 и 19 представлены техническая и программная
архитектура после внедрения выбранных средств.
82
Internet
Серверная комната
28 U
2 U Патч панель
1 U ИБП APC BK500EI
2 U
3 U
Файл сервер
IBM system X3550 M
Отдел бухгалтерии
МФУ
CANON Laser
Base MF3110
Сотовая сеть
Телефон
Huawei FT2050
Удалённые сотрудники
TCP\IP
Сотовая сеть
Отдел по работе с клиентами
Маршрутизатор
CISCO 3825
Рабочие станции
IBM PC 2480GS
Принтер
Hewllet packard
Laser Jet P2015
Рабочие станции
IBM PC 2480GS
Dallas Lock 8
Рис. 18. Техническая архитектура ИС ООО «Арсенал» после внедрения системы
защиты
Рабочая станция сотрудников
отдела по работе с клиентами
Серверное ПО
Серверное ПО
1С Бухгалтерия
OS Windows
Server 2008
OS Windows 7
СУБД
Access
ПО
«Учет и
продажи»
Рабочая станция сотрудников
отдела бухгалтерии
OS Windows 7
ПО
MS Office 2007
ПО 1С
Бухгалтерия
Локальное файловое
хранилище
TCP\IP
TCP\IP
Сеть Интернет
TCP\IP
Сетевое
хранилище данных
Интернет
браузер
Internet Explorer
8.0
TCP\IP
СУБД
IBM DB2
ПО
MS Office 2007
Kaspersky
Internet Security
Kaspersky
Internet Security
Kaspersky
Internet Security
Локальное файловое
хранилище
Secret Disk
Enterprise
Рис. 19. Архитектура ИС ООО «Арсенал» после внедрения системы защиты
83
3 Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчёта экономической
эффективности
Экономическая эффективность мероприятий по защите информации
может быть определена, через объем предотвращённого ущерба или величину
снижения риска для информационных активов организации.
Для того чтобы воспользоваться данным подходом к решению проблемы,
необходимо знать:
во-первых, ожидаемые потери при нарушении защищённости
информации;
во-вторых, зависимость между уровнем защищённости и средствами,
затрачиваемыми на защиту информации.
Для определения уровня затрат Ri, обеспечивающих требуемый уровень
защищённости информации, необходимо знать:
во-первых, полный перечень угроз информации;
во-вторых, потенциальную опасность для информации для каждой из
угроз;
в-третьих, размеры затрат, необходимых для нейтрализации каждой из
угроз.
Поскольку оптимальное решение вопроса о целесообразном уровне затрат
на защиту состоит в том, что этот уровень должен быть равен уровню
ожидаемых потерь при нарушении защищенности, достаточно определить
только уровень потерь. В качестве одной из методик определения уровня затрат
возможно использование следующей эмпирической зависимости ожидаемых
потерь (рисков) от i-й угрозы информации:
R
i
= 10
(Si + Vi – 4)
, (1)
где:
S
i
– коэффициент, характеризующий возможную частоту возникновения
соответствующей угрозы;
84
V
i
– коэффициент, характеризующий значение возможного ущерба при ее
возникновении. При выполнении дипломного проекта используются следующие
значения коэффициентов S
i
и V
i
, приведённые в таблице 20.
Таблица 20
Значения коэффициентов S
i
иV
i
Ожидаемая (возможная)
частота появления угрозы
Предполагаемое
значениеS
i
Почти никогда
0
1 раз в 1 000 лет
1
1 раз в 100 лет
2
1 раз в 10 лет
3
1 раз в год
4
1 раз в месяц (примерно, 10 раз в год)
5
1-2 раза в неделю (примерно 100 раз в год)
6
3 раза в день (1000 раз в год)
7
Значение возможного ущерба
при проявлении угрозы, руб.
Предполагаемое
значение V
i
30
0
300
1
3 000
2
30 000
3
300 000
4
3 000 000
5
30 000 000
6
300 000 000
7
Суммарная стоимость потерь определяется формулой:
R= , (2)
где N – количество угроз информационным активам, определённых в
п.1.2.3.
Воспользуемся вышеприведённой методикой и формулами (1) и (2) для
определения уровня затрат.
Определим значения параметров S
i
и V
i
для каждой угрозы
информационным активам, которые определены в п. 1.2.3. И рассчитаем
величину R
i
для каждой i-й угрозы активов.
В пункте 1.2.3 рассматриваются содержание угроз для шести активов.
Используя данные таблицы, рассчитаем стоимости потерь по каждой из угроз
N
i
Ri
1
85
для каждого актива. Отмечу, что потери для каждого из активов рассчитываются
в тыс. рублей.
Для угрозы 1.1. Кража или повреждение компьютерного оборудования и
носителей информации:
R
И1
=0;
R
И2
=0;
R
И3
=0;
R
И4
=0.
Для актива «Оборудование» по данной угрозе значения параметров S
1.1
=3;
V
1.1
=3.
Величина потерь для данного актива:
R
Ф1
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы об оказанных услугах» по данной
угрозе значения параметров S
1.1
=5; V
1.1
=3.
Величина потерь для данного актива:
R
Ф2
=10
(5 + 3 – 4)
=10000.
Суммарная стоимость потеря для данной угрозы:
R
1.1
=10100.
Угроза 1.2. Утечка конфиденциальной информации из сети по каналам
связи (e-mail, web, chst/IM, и т.п.).
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
1.2
=4; V
1.2
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
1.2
=4; V
1.2
=3.
Величина потерь для данного актива:
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
1.2
=3; V
1.2
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
86
Для актива «Электронная почта» по данной угрозе значения параметров
S
1.2
=4; V
1.2
=3.
Величина потерь для данного актива:
R
И4
=10
(4 + 3 – 4)
=1000.
Для активов «Оборудование» и «Информационные активы об оказанных
услугах»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.2
=3100.
Угроза 1.3. Перехват информации на линиях связи путем использования
различных видов анализаторов сетевого трафика.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
1.3
=5; V
1.3
=3.
Величина потерь для данного актива:
R
И4
=10
(5 + 3 – 4)
=10000.
Для активов «Оборудование» и «Резервные копии ИС»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.3
=10300.
87
Угроза 1.4. НСД к ресурсам ЛВС компании со стороны внешних
злоумышленников.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
1.4
=3; V
1.4
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И4
=10
(4 + 3 – 4)
=1000.
Для активов «Оборудование» и «Информационные активы об оказанных
услугах»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.4
=3100.
Для угрозы 1.5. НСД к резервным копиям данных:
R
И1
=0;
R
И2
=0;
R
И3
=0;
R
И4
=0;
R
Ф1
=0.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
88
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
1.5
=100.
Угроза 2.1. Утечка конфиденциальной информации.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы об оказанных услугах» по данной
угрозе значения параметров S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.1
=500.
Угроза 2.2. Неумышленное раскрытие конфиденциальной информации
сотрудниками компании
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
2.2
=4; V
2.2
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
89
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
2.2
=4; V
2.2
=3.
Величина потерь для данного актива:
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
2.2
=3; V
2.2
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.2
=3; V
2.2
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для активов «Оборудование» и «Информационные активы об оказанных
услугах»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
2.2
=2200.
Угроза 2.3. Разрушение данных по причине системного сбоя или ошибки
ПО, использование не протестированного ПО.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
90
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы об оказанных услугах» по данной
угрозе значения параметров S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.3
=500.
Угроза 3.1. Затопление, пожар, ураган, землетрясение и т.п.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Базы данных» по данной угрозе значения параметров S
3.1
=3;
V
3.1
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Оборудование» по данной угрозе значения параметров S
3.1
=3;
V
3.1
=3.
Величина потерь для данного актива:
R
Ф1
=10
(3 + 3 – 4)
=100.