6
6
Содержание
ВВЕДЕНИЕ ........................................................................................................... 8
Глава 1. Аналитическая часть ............................................................................. 9
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения). ................................................. 9
1.1.1. Общая характеристика предметной области. ................................. 9
1.1.2. Организационно-функциональная структура предприятия. ....... 11
1.2. Анализ рисков информационной безопасности .................................. 12
1.2.1 Идентификация и оценка информационных активов. .................. 12
1.2.2. Оценка уязвимостей активов. ......................................................... 18
1.2.3. Оценка угроз активам. ..................................................................... 19
1.2.4. Оценка существующих и планируемых средств защиты. ........... 20
1.2.5. Оценка рисков. ................................................................................. 30
1.3. Характеристика комплекса задач, задачи и обоснование
необходимости совершенствования системы обеспечения информационной
безопасности и защиты информации на предприятии ............................................ 35
1.3.1. Выбор комплекса задач обеспечения информационной
безопасности. ........................................................................................................... 35
1.3.2. Определение места проектируемого комплекса задач в
комплексе задач предприятия, детализация задач информационной
безопасности и защиты информации. ................................................................... 36
1.4. Выбор защитных мер .............................................................................. 37
1.4.1. Выбор организационных мер. ........................................................ 37
1.4.2. Выбор инженерно-технических мер. ............................................. 37
Глава 2. Проектная часть ................................................................................... 41
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия. ................................................ 41
7
7
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия. ..................................................................................... 41
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия. Политика информационной безопасности предприятия. ........... 42
2.2 Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации предприятия
....................................................................................................................................... 43
2.2.1. Основные сведения о внедряемых программно-аппаратных
средствах обеспечения информационной безопасности. ................................... 43
2.2.2 Контрольный пример реализации проекта и его описание .......... 66
Глава 3. Обоснование экономической эффективности проекта .................... 73
3.1 Выбор и обоснование методики расчёта экономической
эффективности ............................................................................................................. 73
Заключение ......................................................................................................... 82
Список литературы ............................................................................................ 83
Приложение 1. .................................................................................................... 85
8
8
ВВЕДЕНИЕ
В связи с массовой информатизацией современного общества все
большую актуальность приобретает знание нравственно-этических норм и
правовых основ использования средств новых информационных технологий
в повседневной практической деятельности. Наглядными примерами,
иллюстрирующими необходимость защиты информации и обеспечения
информационной безопасности, являются участившиеся сообщения о
компьютерных «взломах» банков, росте компьютерного пиратства,
распространении компьютерных вирусов.
Основной причиной потерь, связанных с компьютерами, является
недостаточная образованность в области безопасности.
Как известно, под информационной безопасностью понимается
защищенность информации от случайных или преднамеренных воздействий
естественного или искусственного характера, чреватых нанесением ущерба
владельцам или пользователям информации [2].
Цель информационной безопасности - обезопасить ценности
системы, защитить и гарантировать точность и целостность информации и
минимизировать разрушения, которые могут иметь место, если информация
будет модифицирована или разрушена.
На практике важнейшими являются три аспекта информационной
безопасности:
• Доступность (возможность за разумное время получить требуемую
информационную услугу);
• целостность (ее защищенность от разрушения и
несанкционированного изменения);
• конфиденциальность (защита от несанкционированного
прочтения).
Цель данной работы – Модернизация системы информационной
безопасности в ООО «Орбита».
Объектом исследования является ООО «Орбита»..
9
9
Предмет исследования – система информационной безопасности в ООО
«Орбита».
Задачи проекта:
• Охарактеризовать и проанализировать деятельность предприятия;
• определить и проанализировать риски информационной
безопасности;
• охарактеризовать комплекс задач;
• выбрать защитные меры;
• рассмотреть комплекс организационных мер обеспечения
безопасности;
• рассмотреть комплекс проектируемых программно-аппаратных
средств обеспечения информационной безопасности;
• рассчитать показатели экономической эффективности проекта.
В первой части – описывается компания «ТЦ Консалт»,
рассматривается организационно-функциональную структурная компании,
провести анализ рисков ИБ, охарактеризовать и обосновать комплекс задач и
задачи ИБ, выбрать организационные и инженерно-технические меры
обеспечения ИБ.
Во второй части – определить организационно-административные
основы создания системы обеспечения ИБ, определить структуру
программно-аппаратного комплекса информационной безопасности и
рассмотреть контрольный пример реализации выбранных мер.
В третьей части – экономической, рассматривается расчёт
экономической эффективности. По результатам расчётов экономической
эффективности производится анализ эффективности внедрения системы ИБ.
ГЛАВА 1. АНАЛИТИЧЕСКАЯ ЧАСТЬ
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения).
1.1.1. Общая характеристика предметной области.
ООО «Орбита» - современный, красивый и комфортный торгово-
развлекательный центр.
10
10
ООО «Орбита» находится на главном проспекте нашего города в шаговой
доступности от центральных площадей, административных и культурных
учреждений. К нам легко добраться любым общественным транспортом, остановка
расположена напротив входа в торгово-развлекательный центр.
На пяти этажах ООО «Орбита» разместились популярные магазины
одежды, обуви, косметики и бытовой техники. К услугам покупателей большой
супермаркет «Мираторг» и уютная кофейня, в которой приятно встретиться с
друзьями. По ТРЦ удобно передвигаться на современных эскалаторах и лифтах,
легко ориентироваться с помощью доступной внутренней навигации.
ООО «Орбита» — это целый город с красивыми атриумами, просторными
галереями и большими возможностями для покупок и досуга. Он стал новым
«центральным местом» покупок, отдыха, развлечений, культурных событий. На
пяти этажах ООО «Орбита» расположились более 200 магазинов, более 20 кафе,
ресторанов и предприятий фаст-фуда различных концепций, несколько видов
развлечений для всех возрастных категорий – для детей, молодежи, взрослых и
всей семьи. Ключевые товарные категории в ООО «Орбита»: «Продукты»,
«Модные товары», «Развлечения и общественное питание» (более 5 000 кв.м
площади, 20 концепций кафе и ресторанов, различные виды развлечений),
«Спортивные товары», «Детские товары».
«Якорными» арендаторами ООО «Орбита» являются: гипермаркет «Лента»,
супермаркет электроники «М.Видео», универмаг одежды «H&M» (2 000 кв.м),
многозальный кинотеатр «Киномакс» (3 300 кв.м) с залом IMAX, детский
развлекательный центр «Чайленд» (2 000 кв.м), детский универмаг «Детский мир».
Рядом находится открытая парковка и уютный сквер для отдыха гостей.
Рассмотрим основные показатели деятельности ООО «Орбита» за 2016-
2018 гг. (таблица 1).
Таблица 1
Основные показатели деятельности ООО «Орбита» за 2014-
2016 гг.
Показатели
2016 г.
2017 г.
2018 г.
Отклонение
2018 г. от 2016 г.
Основные средства, тыс. руб.
11139
11798
12695
+1556
Выручка, тыс. руб.
33644
40491
48633
+14989
11
11
Себестоимость, тыс. руб.
21868
26319
31611
+9743
Чистая прибыль, тыс. руб.
13146,7
15121,4
16816,8
+3670,1
Фондоотдача, тыс. руб.
1,18
1,28
1,32
+0,14
Фондоемкость, тыс. руб.
0,84
0,78
0,75
-0,09
Фондовооруженность, тыс. руб.
38,95
42,44
43,48
+4,53
Данные таблицы 1 показывают, что в течение анализируемого периода
наблюдается увеличение стоимость основных средств на 1556 тыс. руб.
Следствием того, что произошло увеличение выручки на 14989 тыс. руб.,
произошел и рост чистой прибыли на 3670,1 тыс. руб. и на конец анализируемого
периода прибыль предприятия составила 16816,8 тыс. руб
1.1.2. Организационно-функциональная структура предприятия.
Организационная структура ООО «Орбита» представлена на рисунке 1.
В структуре организации можно выделить следующие основные
подразделения:
департамент развития СПС;
департамент развития Сети;
финансовый департамент;
склад;
торговые залы.
Департамент развития СПС:
разрабатывает и постоянно совершенствует программные технологии
ООО «Орбита»;
обеспечивает наполнение системы ООО «Орбита» правовыми актами,
материалами судебной практики, авторскими консультациями,
комментариями, публикациями из периодических изданий и другой
информацией;
осуществляет юридическую обработку включаемой в систему ООО
«Орбита» правовой информации.
12
12
Рисунок 1. Организационная структура ООО «Орбита»
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов.
Для выявления наиболее проблемных областей в части обеспечения
информационной безопасности предприятия ООО «Орбита», а кроме того,
выявления приоритетов в реализации защитных мер требуется осуществить анализ
рисков информационной безопасности.
Оценка рисков занимает центральное место в системе управления
информационной безопасностью.
од риском понимается неопределенность, предполагающая возможность
ущерба, связанного с нарушением ИБ. Оценка рисков – это процесс,
охватывающий индетификацию риска, анализ риска и сравнительную оценку
риска.
Анализ рисков включает следующие обязательные этапы:
идентификация ресурсов;
идентификация бизнес-требований и требований законодательства,
применимых к идентифицированным ресурсам;
13
13
оценивание идентифицированных ресурсов с учетом выявленных бизнес
требований и требований законодательства, а также последствий нарушения их
конфиденциальности, целостности и доступности;
идентификация значимых угроз и уязвимостей идентифицированных
ресурсов;
оценка вероятности реализации идентифицированных угроз и уязвимостей.
Оценивание рисков включает:
вычисление риска;
оценивание риска по заранее определенной шкале рисков.
Оценка рисков является эффективным механизмом управления
информационной безопасностью в компании, позволяющим:
идентифицировать и оценить существующие информационные активы
компании;
оценить необходимость внедрения средств защиты информации;
оценить эффективность уже внедренных средств защиты информации.
Оценка рисков информационной безопасности включает следующие
стадии:
1. Определение границ проведения оценки рисков
2. Начало проекта – получение исходных данных , изучение бизнес-целей
компании и отраслевых особенностей, составление карты активов;
3. Проведение обследования, включающего сбор следующей информации:
об организационных мероприятиях – изучение политик, положений,
инструкций, программ и результатов обучения сотрудников, проведение
интервьюирования ответственных сотрудников Заказчика, наблюдение за работой
сотрудников Заказчика;
о технических средствах – инструментальный анализ информационной
инфраструктуры, изучение документов, описывающих работу технических средств,
изучение существующих настроек технических средств;
о физической безопасности – осмотр помещений, анализ существующих
процедур и применяемых средств обеспечения физической безопасности.
4. Построение модели угроз
14
14
актуальность и полнота составленной модели угроз безопасности
информации является определяющим условием успешной и достоверной оценки
рисков;
модель угроз безопасности информации является уникальной для каждой
компании;
при построении модели угроз безопасности информации используются
каталоги угроз, например CRAMM или BSI. Полученный перечень угроз может
дополняться, угрозами, описанными в методических документах регулирующих
органов, например ФСТЭК России и ФСБ России, и отраслевых регуляторов,
например Банк России;
5. Анализ рисков, включающий:
оценку активов на основе информации, полученной на этапах начала
проекта и проведения обследования. Оценка активов может быть как
количественная, так и качественная;
оценку уязвимостей, выявленных в ходе проведения обследования. Оценка
уязвимостей может проводиться с использованием различных методик, например
CVSS;
оценку угроз, включенных в модель угроз. Под оценкой угроз понимается
вычисление вероятности возникновения угрозы;
расчет рисков по качественной или количественной методике;
ранжирование рисков с целью определения очередности обработки рисков.
6. Разработка плана обработки рисков – выбор оптимальных защитных
мер, оценка их стоимости и эффективности, разработка предложений по принятию,
избеганию или передачи части рисковК основным активам компании ООО
«Орбита» относятся
1. Непосредственно информация/данные.
2. Аппаратные средства (компьютеры, принтеры, сканеры).
3. Программное обеспечение, включая прикладные программы (программы
обработки, 1С: Предприятие, СУБД и так далее).
4. Оборудование для обеспечения связи (телефоны, медные и
оптоволоконные кабели).
5. Программно-аппаратные средства (электронные носители информации).
15
15
6. Документы (договора, контракты).
7. Объекты предприятия.
8.Оборудование, обеспечивающее необходимые условия работы.
9.Персонал организации.
10. Престиж (имидж) компании ООО «Орбита».
К информации, которая играет существенную роль для рассматриваемого
предприятия можно отнести:
- Информацию об арендаторах;
- информацию о контрактах;
- информацию об активах компании и ее деятельности.
Таблица 2
Оценка информационных активов предприятия ООО
«Орбита»
Вид
Деятельн
ости
Наиме
нован
ие
актив
а
Форма
предст
авлени
я
Влад
елец
актив
а
Критерии
выявлен
ия
стоимост
и
Стоимос
ть
активов,
определ
яемая
экспертн
ым
путем .
(тыс.
руб.)
Размерность
Оценки
Качественна
я
Информационные активы
Торговля
Аренда
торы
База
данных
арендат
оров
ИТ
дирек
тор
Ущерб от
потери
коммерчес
кой
информац
ии
1000
очень высокая
Торговля
Контра
кты
База
данных
контрак
тов
ИТ
дирек
тор
Ущерб от
потери
коммерчес
кой
информац
ии
800
очень высокая
Торговля
Активы
предпр
иятия
и его
деятел
ьность
Бумажн
ый и
электро
нный
докумен
т
Финан
совый
дирек
тор
Первонача
льная
стоимость
1000
очень высокая
Активы программного обеспечения