7
Содержание
Введение ............................................................................................................................. 9
I Аналитическая часть ..................................................................................................... 12
1.1. Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения) ........................................................................... 12
1.1.1. Общая характеристика предметной области ...................................................... 12
1.1.2. Организационно-функциональная структура предприятия .............................. 14
1.2. Анализ рисков информационной безопасности .................................................... 23
1.2.1 Идентификация и оценка информационных активов ......................................... 23
1.2.2. Оценка уязвимостей активов ................................................................................ 28
1.2.3. Оценка угроз активам ........................................................................................... 34
1.2.4. Оценка существующих и планируемых средств защиты .................................. 42
1.2.5. Оценка рисков ........................................................................................................ 51
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты
информации на предприятии ......................................................................................... 57
1.3.1. Выбор комплекса задач обеспечения информационной безопасности ........... 57
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации ...................................................................................................................... 70
1.4. Выбор защитных мер ............................................................................................... 72
1.4.1. Выбор организационных мер ............................................................................... 72
1.4.2. Выбор инженерно-технических мер .................................................................... 74
II Проектная часть ........................................................................................................... 81
2.1. Комплекс организационных мер обеспечения информационной безопасности и
защиты информации предприятия ................................................................................. 81
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия ..................................................................................................................... 81
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия ....................... 88
8
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ....................... 99
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия ...................................................... 99
2.2.2. Контрольный пример реализации проекта и его описание ............................. 107
III Обоснование экономической эффективности проекта ......................................... 116
3.1 Выбор и обоснование методики расчёта экономической эффективности ........ 116
3.2 Расчёт показателей экономической эффективности проекта ............................. 122
Заключение ..................................................................................................................... 127
Список литературы ........................................................................................................ 132
Приложения.................................................................................................................... 135
9
Введение
Актуальность выбранной темы выпускной квалификационной работы
обусловлена следующими факторами. Безопасность предприятия – это состояние
его защищенности от различных видов угроз и готовность к их предотвращению.
Угрозы эти могут иметь различное происхождение, но все они приводят, в
конечном счете, к финансовым потерям и убыткам.
Каждое предприятие сталкивается в своей работе с различными факторами,
которые влияют как на физическую, так и на финансовую безопасность. Например,
для любой без исключения организации актуальна проблема трудовой
дисциплины. Опоздания, прогулы, ранние уходы и отсутствие сотрудников на
местах в рабочее время ведут к необоснованным выплатам зарплаты, снижению
возможной прибыли, а также негативно сказываются на имидже предприятия.
Другой распространенной проблемой на производстве является воровство.
Руководитель любого завода может привести массу примеров, связанных с
хищениями продукции, ценных материалов, инструмента, деталей оборудования.
Не менее важна защита предприятия от криминальных элементов,
проникающих на территорию с различными целями – начиная от сговора с охраной
для организации крупного хищения и заканчивая попытками влияния на политику
предприятия, в том числе незаконными методами.
Если здания и помещения предприятия до сих пор не оснащены средствами
пожарной сигнализации и противопожарной защиты, то следует это сделать.
Помимо того, что наличие противопожарных систем является обязательным
требованием для всех объектов, эти системы позволяют существенно сократить
возможные убытки, а также предотвратить гибель людей от пожара.
Наконец, если предприятие относится к категории особой важности,
повышенной опасности и жизнеобеспечения, то необходимо защищаться и от
возможных террористических угроз. К сожалению, диверсии и террористические
акции на промышленных объектах имеют место быть, хотя эти данные редко
попадают в открытую печать.
Безопасность предприятия, завода или любого другого объекта реализуется
только комплексом мер, в который входят как организационные решения, так и
10
обоснованное применение технических (программных и аппаратных) систем
безопасности.
Современный этап развития общества характеризуется возрастающей
ролью информационной сферы, представляющей собой совокупность информации,
информационной инфраструктуры, субъектов, осуществляющих сбор,
формирование, распространение и использование информации, а также системы
регулирования возникающих при этом общественных отношений.
Любое предприятие располагает различными видами информации,
представляющими интерес для злоумышленников. Прежде всего, это
коммерческие данные, информация, являющаяся интеллектуальной
собственностью предприятия и конфиденциальные данные. Поэтому защите
информации от неправомерного овладения ею отводится весьма значительное
место. Успех современной компании и ее развитие в условиях острой конкуренции
в значительной степени зависят от применения информационных технологий, а
следовательно, от степени обеспечения информационной безопасности
Целью настоящей работы является разработка комплексной системы защиты
информации в коммерческой организации ООО «Статус Кредит». Исходя из цели
выпускной работы определены следующие задачи:
проанализировать технико-экономическое состояние предметной
области и предприятия;
выполнить анализ рисков информационной безопасности;
представить характеристику комплекса задач, задачи и обоснование
необходимости совершенствования системы обеспечения информационной
безопасности и защиты информации на предприятии;
осуществить выбор защитных мер;
сформировать комплекс организационных мер обеспечения
информационной безопасности и защиты информации предприятия;
разработать комплекс программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия;
выполнить выбор и обоснование методики расчёта экономической
эффективности;
11
провести расчёт показателей экономической эффективности проекта.
Объектом исследования в настоящей работе является формирование и
функционирование информационных ресурсов в системе безопасности
организации ООО «Статус Кредит».
Предметом исследования - деятельность по обеспечению безопасности
информационных ресурсов коммерческого предприятия.
Теоретической и методологической основой проведенного исследования
послужили труды отечественных и зарубежных ученых в области безопасности
информационных систем. В работе использованы законодательные акты и
нормативные документы Российской Федерации, периодические издания, учетные
и отчетные данные организации.
При разработке и решении поставленных задач применялись методы
наблюдения, группировки, сравнения, обобщения, абстрактно-логические
суждения, дедукции и индукции и др.
Структурно выпускная квалификационная работа представлена введением,
основной частью, разделенной на три главы, заключения, списка использованной
литературы. В первом разделе представлен анализ деятельности ООО «Статус
Кредит», состав и угрозы информации и информационных технологий, способы
защиты информации, применяемые на предприятии.
Во втором разделе проводится разработка предложений по развитию
системы обеспечения информационной безопасности на предприятии ООО
«Статус Кредит».
В третьем разделе проведено обоснование экономической эффективности
разработанных предложений.
В заключении аккумулированы основные выводы по результатам
исследования.
12
I Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1. Общая характеристика предметной области
ООО «Статус Кредит» зарегистрирована 22 марта 2010 г. регистратором
Межрайонная инспекция Федеральной налоговой службы № 46 по г. Москве.
Юридический адрес ООО «Статус Кредит» - 105005, город Москва, Бауманская
улица, 54 стр 3. Основным видом деятельности является «Деятельность в области
права и бухгалтерского учета», зарегистрирован 31 дополнительный вид
деятельности. Организации присвоены ИНН 7701869842, ОГРН 1107746208426,
ОКПО 65349937.
Основным видом деятельности ООО «Статус Кредит» является оказание
широкого спектра консалтинговых услуг в области бухгалтерского учета, права,
инвестиций и HR, т.е. во всех тех областях, которые присутствуют в любой
компании вне зависимости от рода деятельности и составляют её организационно-
административную часть, физическим и юридическим лицам. Также ООО «Статус
Кредит» оказывает клиентам услуги по аутсорсингу их внутренних процессов,
таких как правовая поддержка, кадровый учет и делопроизводство, внутренний
аудит системы менеджмента качества.
Спектр консалтинговых услуг, оказываемых ООО «Статус Кредит»
включает в себя:
юридические и бухгалтерские консультации;
абонентское обслуживание;
кадровое администрирование;
разовые консультации (устные и письменные);
диагностику текущего состояния (аудит) с разработкой
рекомендаций;
разработку проектных и системных решений;
разработку методологии и регламентной документации;
внедрение системных решений;
обучение в рамках проектов и корпоративных семинаров;
13
консультационное сопровождение;
абонентское обслуживание и аутсорсинг.
Наиболее востребованные виды деятельности ООО «Статус Кредит»:
Бухгалтерский консалтинг: комплексное бухгалтерское сопровождение
включающее в себя профессиональное ведение бухгалтерского и налогового учета,
а также составление налоговых деклараций для налоговых органов, отчетов для
Пенсионного Фонда РФ и прочих контролирующих органов.
Юридический консалтинг: ведение абонентского обслуживания;
государственная регистрация ИП, ООО, АО; внесение изменений в учредительные
документы; проведение правового аудита; представительство в суде.
В таблице 1 представлены основные характеристики видов деятельности
ООО «Статус Кредит», и осуществлен расчет таких показателей как
характеристика деятельности службы безопасности ущерб от реализованной
угрозы информационным ресурсам. Характеристика деятельности службы
безопасности рассчитана как число выявленных угроз к числу предотвращенных
угроз.
Таблица 1.
Основные характеристики видов деятельности
№
п\п
Наименование характеристики
Приблизительное значение
показателя
1.
Кол-во обрабатываемых документов
28000 документов/год.
2.
Контракты и договоры
80 000 000 руб./год.
3.
Разовые услуги
10 000 000 руб./год.
4.
Характеристика деятельности службы
безопасности
0,8
5.
Ущерб от реализованной угрозы
информационным ресурсам
1000 000 руб.
Ущерб от реализованной угрозы информационным ресурсам составляет
около 1 млн. рублей в год, что является суммой потерянного рабочего времени
работников компании в следствии проводимых работ по диагностике и устранению
проблем в работе компьютерного оборудования сотрудников, а также
ориентировочно рассчитанные потери потенциальных клиентов в следствии
недоступности веб-ресурсов компании. При этом, как видно из таблицы 1,
основанной на данных технических служб ООО «Статус Кредит» в 20% случаев
14
требовалось вмешательство специалистов для устранения последствий угрозы
ресурсам.
Количественно–стоимостные оценки деятельности ООО «Статус Кредит»
указаны в таблице 2.
Таблица 2
Количественно–стоимостные оценки деятельности компании
№
п/п
Наименование
показателя
Ед.
изм.
2015
г.
2016 г.
2017 г.
Отклонение
2017/2015
Абсолютн
+/-
Темп
роста,
%
1
Объем реализации услуг
т.руб.
75535
79510
83502
7968
110,5
2
Численность работающих
чел.
123
129
130
7
106,1
3
Производительность труда
1-го работающего
т.руб.
1987
2092
1740
-247
87,6
4
Фонд заработной платы
персонала
т.руб.
9850
10368
11096
1246
112,7
5
Среднегодовая зарплата 1-
го работающего
т.руб.
259
273
231
-28
89,1
6
Себестоимость услуг
т.руб.
69464
73120
75942
6478
109,3
Из данных таблицы 2, можно отметить рост основных показателей
деятельности предприятия. Так объем оказанных услуг показал рост на 10,5% за
период с 2015 по 2017 года. Численность работающих также увеличилась на 6,1%.
Однако ряд показателей показывает отрицательную динамику: производительность
труда работников сократилась на 12,4% или на 247 тыс. рублей в год, что сказалось
на сокращении среднегодовой зарплаты работающих (сокращение на 10,9% или на
28 тыс. рублей в год).
В проведенном сравнение данных количественно–стоимостные оценки
деятельности компании (таблица 2) и основных характеристиках видов
деятельности (таблица 1), мы можем отметить, что ущерб от реализованной угрозы
информационным ресурсам составляет около 1% от объема реализованных услуг.
1.1.2. Организационно-функциональная структура предприятия
Организационно ООО «Статус Кредит» состоит из следующих структурных
звеньев (рисунок 1). Организационная структура ООО «Статус Кредит»
сформирована по линейно-функциональному типу и представлена 6 отделами:
финансовым отделом (включая структурное подразделение – отдел продаж),
основных производственных подразделений: отдел бухгалтерского обслуживания и
16
1. Оказывает консультационные услуги юридическим лицам независимо от
форм собственности и организационно-правовых форм, а также физическим лицам
по применению налогового законодательства.
2. Дает необходимые рекомендации:
— по формированию налоговой базы по видам налогов и сборов;
— по составу затрат, относимых на себестоимость для целей
налогообложения;
— по использованию льгот, предоставляемых налоговым законодательством
различным категориям налогоплательщиков и плательщиков сборов;
— по соблюдению установленного порядка исчисления и уплаты налогов и
сборов и источникам их выплаты.
3. Консультирует:
— по ведению бухгалтерского учета и составлению бухгалтерской
отчетности;
— по вопросам прав и обязанностей налогоплательщиков;
— по порядку оформления хозяйственных операций;
— по вопросам налогового планирования предстоящих сделок;
— по порядку обжалования действий налоговых органов и их должностных
лиц;
— по вопросам защиты имущественных прав, нарушенных государством.
4. Разрабатывает варианты оптимизации налогообложения применительно к
специфике деятельности организаций и физических лиц.
5. Анализирует налоговое законодательство, практику применения
законодательства налоговыми органами, арбитражными судами и судами общей
юрисдикции, типичные ошибки налогоплательщиков.
6. Информирует юридические и физические лица о налоговом
законодательстве.
7. Дает разъяснения по применению нормативных правовых актов,
регламентирующих налогообложение юридических и физических лиц.
8. Осуществляет мониторинг изменений и дополнений, вносимых в законы и
иные нормативные правовые акты, касающиеся налогообложения.
17
9. Содействует правильному исчислению и полноте уплаты налогов и
сборов.
10. Подготавливает письменные разъяснения, рекомендации и консультации
по вопросам налогового и финансового права, бухгалтерского учета.
11. Принимает участие в рассмотрении дел о налоговых правонарушениях, а
также споров, вытекающих из налоговых правоотношений, в арбитражных судах и
судах общей юрисдикции
Юрисконсульт, как сотрудник отдела правовых услуг, обязан выполнять
следующие трудовые функции:
1. Разрабатывает или принимает участие в разработке документов правового
характера.
2. Осуществляет методическое руководство правовой работой на
предприятии, оказывает правовую помощь структурным подразделениям и
общественным организациям в подготовке и оформлении различного рода
правовых документов, участвует в подготовке обоснованных ответов при
отклонении претензий.
3. Подготавливает совместно с другими подразделениями предприятия
материалы о хищениях, растратах, недостачах, выпуске недоброкачественной,
нестандартной и некомплектной продукции, нарушении экологического
законодательства и об иных правонарушениях для передачи их в арбитражный суд,
следственные и судебные органы, осуществляет учет и хранение находящихся в
производстве и законченных исполнением судебных и арбитражных дел.
4. Участвует в разработке и осуществлении мероприятий по укреплению
договорной, финансовой и трудовой дисциплины, обеспечению сохранности
имущества предприятия.
5. Проводит изучение, анализ и обобщение результатов рассмотрения
претензий, судебных и арбитражных дел, практики заключения и исполнения
хозяйственных договоров с целью разработки предложений об устранении
выявленных недостатков и улучшении хозяйственно-финансовой деятельности
предприятия.
6. В соответствии с установленным порядком оформляет материалы о
привлечении работников к дисциплинарной и материальной ответственности.