2
Содержание
Введение
I Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения).
1.1.1. Общая характеристика предметной области.
1.1.2. Организационно-функциональная структура предприятия.
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов.
1.2.2. Оценка уязвимостей активов.
1.2.3. Оценка угроз активам.
1.2.4. Оценка существующих и планируемых средств защиты.
1.2.5. Оценка рисков.
1.3. Характеристика комплекса задач, задачи и обоснование
необходимости совершенствования системы обеспечения информационной
безопасности и защиты информации на предприятии
1.3.1. Выбор комплекса задач обеспечения информационной безопасности.
1.3.2. Определение места проектируемого комплекса задач в комплексе
задач предприятия, детализация задач информационной безопасности и защиты
информации.
1.4. Выбор защитных мер
1.4.1. Выбор организационных мер.
1.4.2. Выбор инженерно-технических мер.
II Проектная часть
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия.
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия.
3
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия.
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия.
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия.
2.2.2. Контрольный пример реализации проекта и его описание.
III Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчета экономической
эффективности
3.2 Расчет показателей экономической эффективности проекта
Заключение
Приложения
4
ВВЕДЕНИЕ
информационная безопасность риск защита
На сегодняшний день, как нам известно, информация в электронном виде
имеет большую уязвимость к атакам, данные атаки, нацеленные на хищение инф
ормации могут быть организованными как внешними, так и внутренними злоум
ышленниками, которые могут преследовать совершенно разные цели и мотивы,
например, промышленный шпионаж, вымогательство, поддержка преступных ор
ганизаций, вандализм, месть, хвастовство, то есть использование во вред предпр
иятия. Любое подобное хищение информации может привести к потере интеллек
туальной собственности, раскрытию конфиденциальной информации, как клиен
тов, так и компании, снижению репутации компании и привлечению к ответстве
нности за несоблюдение установленных правовых норм, поэтому тема моей вып
ускной квалификационной работы является актуальной для любых предприятий,
как малых, так и больших.
Представленная выпускная квалификационная работа должна будет
решить проблему с обеспечением информационной безопасности в помещениях
предприятия ООО «Паритет-Информ», это и будет являться задачей данной
выпускной квалификационной работы. Данное предприятие ведет деятельность
в отрасли боеприпасов и спецхимии, эта отрасль накладывает на предприятие
высокую ответственность за хранимые на предприятии данные, документы и
другую конфиденциальную информацию. Ответственность за сохранность само
собой означает, что предприятие должно обеспечить высокую защиту хранимой
информации. Но информационная безопасность (ИБ) не может быть достаточно
совершенна. За долгое существование, на предприятии были кражи
компьютеров. Из-за которых предприятие несло убытки, но предприятие всё-
таки сумело восстановить всю информацию из архивов. Однако степень угрозы,
как кражи компьютеров, так и кражи информации не была достаточно снижена,
хотя и проводились мероприятия по увеличению информационной безопасности
после инцидента.
Предположим, предприятие имеет большое количество конкурентов, кото
рые готовы в любой момент принять на себя обязанности, договоры предприяти
я. А так же из-
5
за высокой важности хранимой информации, которая имеет определенную секре
тность, предприятие может быть периодически атаковано с целью кражи конфид
енциальной информации по различным каналам связи.
Целью выпускной квалификационной работы является максимальное уме
ньшение любых угроз хищения информации, используя наиболее эффективные
и приемлемые по цене предлагаемые решения по их устранению.
Объектом нашего исследования будет решение проблем безопасности инф
ормации на предприятии ООО «Паритет-Информ».
Предметом исследования будет являться существующая система информа
ционной безопасности на предприятии ООО «Паритет-Информ».
Методами будут, как теоретические знания, полученные из лекций по
информационной безопасности, так и практические навыки, которые были
получены за время прохождения практики, а так же методические указания.
Данная работа структурно состоит из введения, в котором будет
обоснована актуальность выбранной мной темы, а так же сформулированы цель
и задачи нашего исследования; трех взаимосвязанных между собой глав,
которые раскрывают обусловленные аспекты выбранной мной темы;
заключения, где будут представлены обобщающие выводы по проведенному
исследованию; списка используемой литературы и приложений.
Названия глав полностью отображают содержащуюся в них информацию.
6
I. Аналитическая часть
1.1 Технико-экономическая характеристика предметной области
и предприятия
1.1.1 Общая характеристика предметной области
На сегодняшний день основными направлениями деятельности
предприятия ООО «Паритет-Информ» являются:
- координация – это научно-техническое и организационно-методическое
руководство работами в отрасли по проектированию и промышленной
эксплуатации автоматизированной с применением электронно вычислительных
машин, системы управления государственным оборонным заказом, выпуском и
поставкой боеприпасов и спецхимии для государственных нужд,
информационных технологий, систем прикладного, программного обеспечения,
сервисного, информационно-справочных систем, баз и банков данных и
информационных САLS-технологий;
- исследование – это разработка и эксплуатация совместно с
предприятиями и организациями Министерства Обороны России
информационно-справочных и автоматизированных с применением
компьютерных систем учета наличия, движения прогнозирования и оценки
качественного состояния вооружения, техники, спецхимии и боеприпасов;
- исследование - это разработка и эксплуатация совместно с
предприятиями и организациями Министерства Обороны России и другими
государственными заказчиками информационно-справочных
автоматизированных с применением компьютерных систем учета обращения
вооружения, техники, боеприпасов и спецхимии для федеральных
государственных нужд;
- разработка - это актуализация и хранение отраслевого банка данных
конструкторской, нормативной и иной документации предприятия по
боеприпасам и спецхимии (классификаторы продукции, технические ведомости
комплектации, схемы прохождения, каталоги цен, нормы расхода сырья и
7
материалов, нормы погрузки, нормы на испытания и т.д.), сведения по
технологическому оборудованию, производственным мощностям, площадям,
другим технико-экономическим показателям предприятий отрасли в том числе
мобилизационного характера.
Таблица 1
Основные характеристики видов деятельности ООО «Паритет – Информ»
1.1.2 Организационно-функциональная структура предприятия
На данном предприятии - ООО «Паритет-Информ» - функционируют два
научно-исследовательских центра: «обоснования структурных преобразований
отрасли» и «системного анализа и обоснования Федеральных целевых и
Государственных программ». Каждый из них состоит из нескольких отделов,
которые представлены на рисунке 1.
В первый отдел входят отделы:
- системного анализа финансово-экономического состояния предприятий
и обоснования структурных преобразований отрасли;
- сбора и обработки статистической и бухгалтерской отчетности;
- разработки, внедрения и сопровождения программных средств.
Отдел «системного анализа финансово – экономического состояния
предприятий и обоснования структурных преобразований отрасли» занимается
тем, что формирует аналитические отчеты, а так же формирует прогнозы на
8
будущие периоды. Отдел «сбора и обработки статистической и бухгалтерской от
четности» занимается тем, что собирает и обрабатывает отчеты, которые присыл
ают с предприятий закрепленных за данной отраслью, а так же в отделе занимаю
тся разработкой приложений для внутреннего пользования в ООО «Паритет –
Информ»
Общее собрание акционеров
Ревизионная комиссия
Совет директоров
Генеральный директор
Научно-технический совет
Отдел по правовым вопросам и
корпоративным отношениям
Зам.ген.директора по
режиму, кадрам и
безопасности
1 отдел
Отдел спец связи
Отдел кадров
Главный бухгалтер
Бухгалтерия
Заместитель ген.
директора по экономике
и финансам
Планово-экономический
отдел
Финансовый отдел
Аппарат генерального
директора
Группа советников
Секретариат
Зам. ген
.директора
Заместитель
генерального
директора
Научно-исследовательский центр обоснования структурных
преобразований отрасли
Отдел материально-
технического
обеспечения и
технического
обслуживания
Начальник научно-
исследовательского центра –
начальник отдела
Отдел системного
анализа финансово-
экономического
состояния предприятий и
обоснования структурных
преобразований отрасли
Отдел сбора и
обработки
статистической
и бухгалтерской
отчетности
Отдел
разработки,
внедрения и
сопровождения
программных
средств
Отдел
менеджмента
качества и
стандартизац
ии продукции
Редакционно-
издательский
отдел
Научно-исследовательский центр системного анализа и обоснования Федеральных целевых и
Государственных программ
Начальник научно-
исследовательского центра –
начальник отдела
Отдел системного
анализа,
координации,
формирования ФЦП и
мониторинга НИОКР
Отдел системного
анализа, ГОЗ, плана
РГ, программ ВТС
Отдел системного анализа
и мониторинга
инвестиционных проектов
Рис 1. Организационная структура ООО «Паритет-Информ»
9
Во втором отделе находятся отделы:
- системного анализа, координации, формирования Федеральных целевых
программ и мониторинга научно-исследовательских и опытно-конструкторских
работ;
- системного анализа и мониторинга инвестиционных проектов;
- системного анализа, Государственные оборонные заказы, программ
Военно-технического сотрудничества.
Данные отделы ведут работы по отдельным договорам.
Отдел материально-технического обеспечения и технического
обслуживания по большей мере является IT-отделом. Который занимается
закупкой, выдачей и хранением на складе аксессуаров. Так же этот отдел
обеспечивает постоянную техническую поддержку на ООО «Паритет-Информ. В
этом же отделе находится администратор по безопасности.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
В процессе анализа рисков оценка активов организации является важным
этапом. Ценность, которая определена для каждого актива, должна выражаться
способом, соответствующим данному активу и юридическому лицу, ведущему
деловую деятельность. Чтобы выполнить оценку активов, предприятие должно
сначала провести инвентаризацию своих активов.
Для обеспечения полного учета активов часто полезно сгруппировать их
по типам (например, информационные активы, активы программного
обеспечения, физические активы и услуги). Также можно назначить
ответственных «владельцев» активов, и они будут нести ответственность за
определение их ценности.
Следующий этап — это согласование масштабов оценки, которая должна
быть произведена, и критериев определения конкретной стоимости активов. Из-
за разнообразия активов, весьма вероятно, что некоторые активы из тех, что
могут быть оценены в денежных единицах, будут оцениваться в местной валюте,
10
в то время как другие активы могут оцениваться по качественной шкале в
диапазоне от «очень низкой» до «очень высокой» цены. Решение использовать
количественную или качественную оценку каждая организация принимает
самостоятельно, но при этом выбранный тип оценки должен соответствовать
установленным подлежащим оценке активам. Для одного и того же актива могут
быть использованы два типа оценки.
На данный момент типичными терминами, которые используется для
качественной оценки ценности активов, являются: «пренебрежимо малая»,
«очень малая», «малая», «средняя», «высокая», «очень высокая», «имеющая
критическое значение». Выбор и диапазон терминов, являющихся подходящими
для данной организации, в значительной степени зависят от нужды организации
в безопасности, размеров этой организации, а также других, индивидуальных
для данной организации факторов.
Критерии, которые используются в качестве основы для оценки ценности,
должны выражаться в однозначных (не двусмысленных) терминах. С этим часто
связаны наиболее сложные аспекты оценки активов, поскольку ценность
некоторых из них приходится определять субъективно. Поэтому для
определения ценности активов целесообразно привлекать достаточно большое
число разных людей.
Возможны и следующие критерии определения ценности активов:
первоначальная стоимость и стоимость его обновления или восстановления.
Ценность актива может также носить нематериальный характер, например цена
имени или репутации ООО «Паритет-Информ».
Кроме того, предприятие может устанавливать собственные пределы для
ценности активов (например «малая», «средняя» и «высокая»). Такие пределы
должны оцениваться по выбранным им критериям, например, возможные
финансовые потери следует оценивать в денежных единицах (в данном случае –
в рублях), тогда как при оценке по критерию угрозы для личной безопасности
оценка в денежных единицах окажется непригодной. В конечном счете
предприятие должно решить самостоятельно, какой для него ущерб считать
малым, а какой — большим.
11
Ущерб, который может стать критичным для маленького предприятия, для
очень крупного предприятия может считаться малым или совсем пренебрежимо
малым. В таблице 2 будут представлены часто используемые и важные активы
на предприятии ООО «Паритет-Информ».
Далее представлена таблица 3, в которой показан перечень сведений
конфиденциального характера, который используется на предприятии ООО
«Паритет-Информ».
В таблице 4 представлены результаты группирования активов,
установленные ООО «Паритет-Информ».