72
сетевого уровня на базе модели OSI выступает IP-протокол.
Активное аппаратное обеспечение сети для отправки данных включает
коммутаторы уровня доступа, коммутаторы ядра и маршрутизатор для
взаимодействия с сетями извне.
Коммутаторами уровня доступа становятся управляемые коммутаторы
2 уровня (Layer 2) в рамках модели OSI. Эти коммутаторы помогают
отправлять данные со скоростью передачи до 100 Мбит/с к каждому ПК, а
также помогают поддерживать технологии и протоколы: VOICE VLAN, VTP,
Rapid PVST, IEEE 802.1Q, PAgP, PVST. Число портов считается исходя из
совокупного числа мест, прибавляется 20% для масштабируемости и все эти
данные указываются на этапе проектирования. Соединение с коммутаторами
уровня ядра происходит по магистральным линиям связи и состоит из
стабильной архитектуры на базе 2 независимых линий связи.
Обычно коммутаторами уровня ядра выступает оборудование 3 уровня
(Layer 3) следуя модели OSI. Эти коммутаторы построены на модульной
основе и имеют режим стекирования (StackWise, FlexStack, StackWise Plus).
Для внедрения коммутаторов уровня доступа, серверов и подобного активного
сетевого оборудования используются порты более 100 Мбит/с. Эти
коммутаторы также имеют поддержку технологий и протоколов типа: EIGRP,
VTP, IEEE 802.1Q, PVST, Rapid PVST, RIPv2, PAgP. Контроль реализуется
посредством HTTP, Telnet, HTTPS, SSH. Коммутаторы уровня ядра включают
в себя особенности коммутаторов ядра и коммутаторов уровня доступа.
Для работы с внешними сетями, к примеру, Internet, используется
маршрутизатор, работающий с протоколами и технологиями типа: OSPF,
EIGRP, GRE, IEEE 802.1Q. Соединение с сетью Internet выполняется в рамках
технических условий, описанных Заказчиком. Модель маршрутизатора
выбирается в процессе проектирования и исходя из требуемой
функциональности и скорости работы, определяемой максимальным числом
73
пользователей ЛВС.
Физическая топология CKC выступает в виде топологии «звезда» без
уровней иерархии.
Если же для одного объекта создается более одного узла СКС, все
зональные коммутационные узлы соединяются сразу с основным
коммутационным узлом СКС своими магистральными линиями.
Последовательное подключение коммутаторов не допускается.
Основной узел СКС выбирается исходя из минимизации кабельного
соединения до этажных кроссов. Часто применяется телекоммутационный
кросс серединного этажа.
Схема реализации СКС на всех местах выполняет идентично. Любой
телекоммуникационный разъем на месте сотрудника соединяется
горизонтальным кабелем сразу с телекоммуникационным кроссом.
Каждый кросс предусматривает место для установки коммутаторов (1
или более, объединенных в стек – исходя из рабочих мест на этаже) и ИБП.
Данные - это сведения о лицах, фактах, событиях, предметах, процессах
и явлениях без выбора формы их представления [1].
Нашу цивилизацию уже невозможно представить без носителей
информации. Сам носитель данных выступает в роли устройства, созданного
для записи, считывания, хранения данных, но в современном мире это
определение не может включить в себя все доступные функции новейших
носителей. История носителей данных начинается очень давно.
Наш мир определяется постоянным ростом роли информации [4].
Производственные процессы совместно с материальными (материалы,
аппаратура, энергия и т.д.) и нематериальными (принципы производства)
составными частями. Повышается число сфер производства, состоящих почти
на 100% только из данных, к примеру, дизайн, программирование, рекламная
74
деятельность и т.п. Цена и роль информационной компоненты на современном
производстве повышается.
Данные не могут быть сами по себе, в отрыве от носителя информации,
которые год от года обновляются.
С ростом значимости и ценности данных у носителей возникает
требование к надежному хранению и защите. Утечка или потеря данных часто
влечет материальный ущерб. Важно понимать, что данные могут быть одним
их инструментов управления, и нелегальное вмешательство в него часто
приводит к крайне негативным последствиям в промышленности, военной
сфере и транспорте.
Стабильная защита данных стоит дорого, поэтому важно оценить
возможный ущерб от утраты или разглашения данных с ценой ее защиты и
выбрать самое правильное решение.
При определении задачи по ЗИ важно выделить список возможных
угроз, состоящий из источников, а также организационные и технологические
методики защиты.
В процессе определения схемы ЗИ важно обращать внимание на
объективную надежность и сертификацию, что несет некую гарантию
стабильности ЗИ от злоумышленника.
Обычно подразумевают 2 вида ЗИ носителя - защита самого носителя
или защита данных на нем.
Первый тип состоит из защиты носителей данных, которые обычно
делят на программные, аппаратные и смешанные. Методом ЗИ выступает
криптография. Организационные мероприятия пол защите данных
значительно минимизируют риск утери носителя и имеющихся данных.
Смешанные методы включают как защиту самого носителя -
аппаратную защиту, так и всей сохраненной на нем информации – защиту на
программном уровне.
75
Программно-аппаратные методики необходимы для уменьшения
влияния угроз, связанных так или иначе с процессом анализа и перемещения
данных в ИС. Без описанных методов невозможно построить совокупную
надежную систему поддержки БИ. К этой группе относят такие методы:
• Разделение доступа к средствам анализа данных;
• Разделение доступа к объектам ЗИ;
• Разделение доступа для самих пользователей;
• Отслеживание внешний потоков информации;
• Отслеживание внутренних потоков информации;
• Защита структуры и цели использования ИС;
• Проверка подлинности данных;
• Кодирование данных при их передаче и хранении;
• Блокировка неактивных сервисов;
• Отслеживание целостного состояния ПО, параметров ИС;
• Контроль ДВ на ИС;
• Отслеживание работы пользователей информационных
процессов.
Система организации безопасного инфо-обмена (СОБИ) является
практической реализацией на объекте защиты совокупных методик, приемов
и способов борьбы с возможным ДВ в процессе появления возможных угроз
БИ. Хорошая эффективность работы СОБИ поддерживается при условии
совместной реализации всех имеющихся в комплекте методов минимизации
угроз. Создание СОБИ часто реализуется в рамках положений отдельных
мировых стандартов в сфере БИ (к примеру, стандарта ISO 15408).
Основным принципом внедрения СОБИ становятся многоуровневая
реализация и системность. Исходя из этих принципов, предполагается, что
максимальная результативность ЗИ в КИС от применения ДВ реализовано,
когда СОБИ создается как многоуровневая система. Совокупный подход,
76
применяемый для создания СОБИ, состоит сразу из нескольких уровней
защиты, определяющих отношения по поддержке ИБ на всех этапах
использования ее в ИС
В процессе реализации по функциональным признакам, СОБИ
разделяется на подсистемы, которые выступают как отдельные службы
безопасности, поддерживающие реализацию целевых задач по защите ИР:
1. Подсистема поддержки проверенной среды нужна для контроля
целостной программно-аппаратной среды ИС, соблюдения гарантий
доверительности пользователей ИС к включенным в систему данным и
сервисам. В совокупности подсистема состоит из следующих средств:
антивирусная защита, лицензионный контроль, проверка отказоустойчивости
аппаратных платформ и каналов связи, отслеживание целостности системного
ПО и т.п.;
2. Подсистема определения пользователи необходима для
реализации процедур идентификации пользователей, приложений, СУБД и
т.д. на каждом этапе анализа при обращении к данным в ИС. Подсистема
поддерживается механизмами аутентификации, которые встроенные в СЗИ.
Подсистема активно работает с СКУД;
3. Подсистема СКУД нужна для контроля и контроля доступом
сотрудников к станциям, серверам, ПО, сервисам и другим компонентам,
включенным в ИС, в рамках многоуровневой политики безопасности.
Подсистема поддерживается механизмами деления полномочий,
включенными в системное ПО и СЗИ. Важной задачей подсистемы становится
создание политики «единой отслеживаемой точки входа» в систему;
4. Подсистема защиты потоков нужна для реализации проверенных
каналов связи между частями одной ИС. Подобная подсистема поддерживает
защиту данных, отправляемых как по открытым методом, так и по секретным
каналам связи. Для выполнения функций, возложенных на эту подсистему,
77
применяются методики криптографического преобразования данных и
проверки их целостности;
5. Подсистема аудита и регистрации реализует получение и хранение
данных по совокупному положению программных и технических
компонентов, работающих отдельно или включенных в состав системы
безопасности, и нужна эта подсистема для начального анализа этих данных.
Подсистема, в требуемым момент, реализует оперативное оповещение СБ о
состоянии применяемого оборудования и ПО, работающего в рамках ИС, и
корректировках, работе администраторов и пользователей по изменению
оборудования и ПО, явной активности пользователей, произошедших
событиях по безопасности и т.п.;
6. Подсистема управления – основная система СОБИ, нежная для
постоянного управления как отельными составными частями СОБИ, так и всей
системой в совокупности, исходя из настроек политики по ИБ. Подсистема
содержит ряд механизмов, а именно: анализ данных с консолей мониторинга
СЗИ, поддержка принятия решений по оперативному повышению или
минимизации политики ИБ в конкретных частях или узлах СОБИ и борьба с
возможными атаками внутри или извне, а также управление некоторыми
средствами и комплексами СЗИ и т.п.
Применении в процессе построения СОБИ требуемых уровней защиты
и функциональных подсистем помогает минимизировать такой серьезный
недостаток, как сложность СОБИ (СЗИ), которая часто приводит к изменению
работы СОБИ, сбоям и т.п., что, в конечном итоге, может привести к ясному
повышению рисков в среде ИБ.
Подсистема распределения и межсетевого экранирования необходима
для разделения межсетевого доступа на этапе сетевого протокола и защиты
ЛВС компании от сетевых атак из сети Интернет и внешних сетей. Внутри
системы должна создаваться и выделяться архитектура соединения с сетями
78
общего доступа и внедрения демилитаризованной зоны (DMZ), включающей
межсетевой экран, VPN и Web-сервера, транслятор (relay) e-mail,
последовательный кэширующий DNS и LDAP-сервер, а также подсистему
защиты доступа извне.
В рамках сетевой инфраструктуры нужно использовать методы
разделения ЛВС на части. Эти методы должны базироваться на технологии
виртуальных ЛВС (VLAN) в рамках организационной структуры компании и
логикой работы отделов фирмы с информационными ресурсами.
Серверы ЛВС нужно размещать в выделенном сегменте сети. Важно
поддерживать отсутствие рабочих мест пользователей в данных сегментах
ЛВС.
В рамках внешнего информационного обмена важно использовать
методы межсетевого экранирования. Такой экран обязан обеспечивать
фильтрацию сетевого трафика на нескольких уровнях: транспортном,
прикладном и сетевом.
Подсистема VPN используется при внешнем информационном обмене
для секретности передаваемой информации между ЛВС разделенных частей
фирмы, которые нельзя связать отдельным каналом, а также для соединения с
ЛВС мобильных пользователей. Методы VPN базируются на протоколе IPSec
и объединяются с методами межсетевого экранирования.
Средства VPN обязаны отвечать спецификациям стандарта IPSec
(спецификация по применению ГОСТ 28147-89 при зашифровке вложений в
Ipsec Esp-протоколе).
Средства VPN должны поддерживать передачу информации и в
зашифрованном, и в открытом виде исходя из адресата получаемых данных.
Средства VPN нужно объединять с МЭ.
79
3.3 Расчет возможной экономической эффективности внедрения
офисной сети
Есть много методов и критериев для оценки результативности таких
проектов. И обоснованы они тем, что на каждом этапе создания проекта есть
по уровню точности и детализации набор данных. Также часто возникает
вопрос о нахождении дополнительных решений, которые не требуют
полноценного анализа ситуации.
Для изучения результативности финансовых проектов примечется ряд
показателей.
Деление показателей результативности вложений представляют
следующими признаками:
1) По совокупному виду параметра, являющегося критерием
результативности вложений:
• Абсолютные (разница между ценовой оценкой итогов и затрат на
создание проекта);
• Относительные (разница ценовых оценок итогов проекта к
требуемыми для этого общими затратами);
• Временные (срок возврата всех реализованных вложений);
2) По способу учёта временного фактора:
• Статические (потоки средств, относящиеся к различным
временным отрезкам, считаются равными);
• Динамические (сравнение потоков средств, относящихся к
различным временным отрезкам, реализовано методом их дисконтирования).
Статические методы часто называют методами, базирующимися на
оценках учета, а динамические методы — методиками, базирующимися на
оценках дисконтирования [5].
Опишем вначале самые популярные статистические критерии.
80
Период окупаемости – промежуток времени от момента первого
вложения капитала до момента, когда суммарный итог денежного потока
равняется 0 [2]. Период окупаемости можно сравнить с продолжительностью
проекта. И если он меньше или равен, проект считается рентабельным.
Преимущества:
• Лёгкость и оперативность расчетов;
• Не нужно огромных объемов начальных данных.
Минусы:
• Нет явного понимания доходности проекта;
• Малая стабильность результатов.
Оправданность вложений является отношением среднегодовой прибыли
к совокупному числу вложений [2]. Процент рентабельности не должен быть
меньше суммы банковской учетной ставки, что отвечает рентабельности
проекта в целом.
Плюсы:
• Удобство;
• Актуальность на этапе начальной оценке проектов при
минимальных данных.
Минусы:
• Применение точечных показателей;
• Малая стабильность результата.
Опишем базовые динамические параметры результативности.
Чистая итоговая цена или интегральный экономический эффект.
• Отношение приведенных к одному моменту времени финансовых
средств и выплат за весь период финансирования [2]. Если данный показатель
больше или равен 0, то проект можно объявить целесообразным для вложения
денежных средств.
Плюсы:
81
• Понятность параметра принятия решения;
• Контроль расхода денег в рамках риска.
Минусы:
• Субъективность в рамках определения ставки дисконтирования;
• Нет возможности сравнить другие варианты проектов различного
масштаба.
Индекс эффективности вложений отражает соотношение всех денежных
потоков поступлений и выплат за период вложений [2]. Если уровень
показателя более единицы, то проект можно считать рентабельным. Если
показатель равен 1, то прибыть от вложений соответствует норме
рентабельности. А если показатель менее 1, проект считается нерентабельным
для поддержки.
Показатель сочетает в себе те же недоставки, что и предыдущий. Также,
он позволяет оценить явную результативность, что помогает сравнить
проекты разной длительности.
Внутренняя норма рентабельности - это ставка дисконтирования, при
которой поступления по проекту считаются аналогичными с проведенными
выплатам [2]. Если уровень показателя превышает минимальный уровень
рентабельности для конкретного проекта, то сам проект считается
экономически выгодным.
Плюсы:
• Хорошая объективность оценки;
• Относительность оценка;
• Доступность сравнения проектов разного масштаба.
Минусы:
• Трудность расчетов;
• Противоречия с параметром чистой текущей стоимости;