5
СОДЕРЖАНИЕ
Содержание ...................................................................................................... 5
Введение........................................................................................................... 7
1. Аналитическая часть................................................................................. 10
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения) .......................................... 10
1.1.1 Общая характеристика предметной области ............................ 10
1.1.2. Организационно-функциональная структура предприятия ... 13
1.2. Анализ рисков информационной безопасности ............................. 18
1.2.1 Идентификация и оценка информационных активов .............. 18
1.2.2. Оценка уязвимостей активов ..................................................... 21
1.2.3. Оценка угроз активам ................................................................. 22
1.2.4. Оценка существующих и планируемых средств защиты ....... 26
1.2.5. Оценка рисков ............................................................................. 29
1.3. Характеристика комплекса задач, задачи и обоснование
необходимости совершенствования системы обеспечения информационной
безопасности и защиты информации на предприятии ...................................... 36
1.3.1. Выбор комплекса задач обеспечения информационной
безопасности ...................................................................................................... 36
1.3.2. Определение места проектируемого комплекса задач в
комплексе задач предприятия, детализация задач информационной
безопасности и защиты информации .............................................................. 36
1.4. Выбор защитных мер ......................................................................... 37
1.4.1. Выбор организационных мер .................................................... 37
1.4.2. Выбор инженерно-технических мер ......................................... 39
2. Проектная часть ........................................................................................ 62
6
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия. .......................................... 62
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия. ............................................................................... 62
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия. ...................................................................................................... 65
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия. .......................................................................................................... 66
2.2.1 Структура программно-аппаратного комплекса
информационной безопасности и защиты информации предприятия. ....... 66
2.2.2. Контрольный пример реализации проекта и его описание. ... 82
3. Обоснование экономической эффективности проекта ......................... 87
3.1 Выбор и обоснование методики расчёта экономической
эффективности ....................................................................................................... 87
3.2 Расчёт показателей экономической эффективности проекта ......... 88
Заключение .................................................................................................... 93
Список использованной литературы .......................................................... 94
Приложения ................................................................................................. 103
7
ВВЕДЕНИЕ
Не так давно информация стала одним из наиболее важных
стратегических, управленческих, а также экономических ресурсов. В связи с
постоянным развитием технологий высокоскоростного доступа в Интернет
важные компоненты бизнеса перемещаются в среду Web. Системы типа Банк-
Клиент, публичные сайты организаций, интернет-магазины, новостные,
развлекательные и торговые площадки, блоги, государственные порталы
являются обязательной составляющей всемирной сети. На сегодняшний день
наличие веб-сайта у коммерческих предприятий, государственных структур и
других каких-либо организаций является необходимостью для успешного
функционирования. Веб-приложение – одно из лучших инструментов в
маркетинге, оно позволяет распространить информацию среди определенной
аудитории, осуществлять онлайн-услуги, использоваться как место
коммуникации и так далее. Из-за своей доступности веб-приложения часто
становятся привлекательной целью для злоумышленников, поэтому решения по
эффективной защите web-приложений сейчас являются все более актуальными
и востребованными.
Обеспечение безопасности подразумевает защиту ценностей, где
ценность определяется как нечто, имеющее стоимость. Некоторые активы
являются материальными и имеют денежное выражение, другие –
нематериальны, но тем не менее имеют стоимость. Необходимость защиты
«почти материальных» активов, таких как реестр имущества компании,
персональные данные пользователей, клиентов и сотрудников, электронные
деньги сомнений не вызывает. Но важно понимать и то, что такая, безусловно,
нематериальная ценность, как репутация компании, тоже имеет стоимость и
нуждается в защите.
Защита информации превращается сегодня в одну из самых актуальных
задач вследствие чрезвычайно широкого распространения различных систем
обработки информации и расширения локальных и глобальных компьютерных
8
сетей, по которым передаются огромные объемы конфиденциальной
информации государственного, военного, коммерческого, частного характера,
утечка которой являются недопустимой. Также безопасность информации важна
и в других сферах человеческой деятельности, которая выражена в следующих
информационно зависимых сферах и активностях: стремительный рост оборота
пластиковых карт, введение электронных документов идентификации,
электронный документооборот. Распространение таких технологий также,
безусловно, требует хорошо поставленного защиты информации. Все эти и
многие другие задачи призваны решать различные технологии защиты
информации, одной из которых является криптографическая защита данных.
Изучению вопроса защиты информации уделяли ряд отечественных и
зарубежных ученых: К. Е. Шеннон, Дж. Л. Месси, Б. Шнайером, М. Хеллман, Ч.
Г. Беннет, Б. В. Диффи, Р. Меркли, Н. Коблиц, А. Шамир, М. Мауэр, И. Чанг, Р.
Л. Ривест, Ж. Брассар, И. Д. Горбенко, А. М. Олексийчук, А. В. Гомонай, Г. А.
Хади, В. К. Усенко, В. М. Сидельников, О. А. Логачев, С. А. Шестаков, А. Н.
Фионов, Б. Я. Рябко, Д. Н. Голубчиков, В. Збинден, А. А. Молдовяну, Л. В.
Ковальчукта, О. Н. Жданов, В. В Золотарев, Г. В. Басалова, Ш. Т. Ишмухаметов,
А. Г. Роговцев, Е. Б. Маховенко и др.
Целью данной работы является разработка проекта комплекса
информационной безопасности предприятия (ООО "Чистое небо"). Для
достижения цели необходимо решить следующие задачи:
провести технико-экономический анализ предметной области;
проанализировать риски информационной безопасности;
дать характеристику комплексу задач информационной безопасности;
определить направление совершенствования информационной
безопасности предприятия;
выбрать защитные меры;
определить комплекс организационных мер обеспечения
безопасности;
9
разработать программное средство для безопасного хранения
информации компании;
провести экономическое обоснование.
Методы исследования: анализ научной и учебной литературы, синтез,
сопоставительный, сравнительный и системный анализ, обобщение, изучение
практических разработок и документации, моделирование, методы
проектирования баз данных, методы и приемы защиты веб-приложений и СУБД,
методы проектирования и разработки приложений, тестирование, описательный
метод, методы обеспечения безопасности информационных систем и баз данных.
10
1. АНАЛИТИЧЕСКАЯ ЧАСТЬ
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
ООО "Чистое Небо" ИНН 5027161950 ОГРН 1105027006402
зарегистрировано 11.05.2010 по юридическому адресу 140032, Московская
область, Люберецкий район, рабочий поселок Малаховка, Шоссейная улица, 26.
Статус организации: действующая.
Основной вид деятельности - Торговля оптовая парфюмерными и
косметическими товарами (46.45), кроме этого, предприятие осуществляет
деятельность еще по 20 дополнительных видах деятельности.
41.2 - Строительство жилых и нежилых зданий;
43.12 - Подготовка строительной площадки;
43.2 - Производство электромонтажных, санитарно-технических и
прочих строительно-монтажных работ;
43.3 - Работы строительные отделочные;
45.20.1 - Техническое обслуживание и ремонт легковых автомобилей
и легких грузовых автотранспортных средств;
45.20.2 - Техническое обслуживание и ремонт прочих
автотранспортных средств;
46.44 - Торговля оптовая изделиями из керамики и стекла и
чистящими средствами;
46.46 - Торговля оптовая фармацевтической продукцией;
46.49.4 - Торговля оптовая прочими потребительскими товарами;
46.73 - Торговля оптовая лесоматериалами, строительными
материалами и санитарно-техническим оборудованием;
47.1 - Торговля розничная в неспециализированных магазинах;
11
47.2 - Торговля розничная пищевыми продуктами, напитками и
табачными изделиями в специализированных магазинах;
47.73 - Торговля розничная лекарственными средствами в
специализированных магазинах (аптеках);
47.74 - Торговля розничная изделиями, применяемыми в медицинских
целях, ортопедическими изделиями в специализированных магазинах;
47.75 - Торговля розничная косметическими и товарами личной
гигиены в специализированных магазинах;
49.32 - Деятельность такси;
49.4 - Деятельность автомобильного грузового транспорта и услуги по
перевозкам;
52.29 - Деятельность вспомогательная прочая, связанная с
перевозками;
59.1 - Производство кинофильмов, видеофильмов и телевизионных
программ;
96.02 - Предоставление услуг парикмахерскими и салонами красоты.
В качестве организационно-правовая формы для компании «Чистое
Небо» выбрано - общество с ограниченной ответственностью (ООО).
Особенности деятельности данной организационно-правовой формы
деятельности указаны ниже.
1. Обществом с ограниченной ответственностью признается созданное
одним или несколькими лицами хозяйственное общество, уставный
капитал которого разделен на доли; участники общества не отвечают
по его обязательствам и несут риск убытков, связанных с
деятельностью общества, в пределах стоимости принадлежащих им
долей в уставном капитале общества.
Участники общества, не полностью оплатившие доли, несут
солидарную ответственность по обязательствам общества в пределах
стоимости неоплаченной части принадлежащих им долей в уставном
капитале общества.
12
2. Общество имеет в собственности обособленное имущество,
учитываемое на его самостоятельном балансе, может от своего имени
приобретать и осуществлять имущественные и личные
неимущественные права, нести обязанности, быть истцом и
ответчиком в суде.
Общество может иметь гражданские права и нести гражданские
обязанности, необходимые для осуществления любых видов
деятельности, не запрещенных федеральными законами, если это не
противоречит предмету и целям деятельности, определенно
ограниченным уставом общества.
Отдельными видами деятельности, перечень которых определяется
федеральным законом, общество может заниматься только на
основании специального разрешения (лицензии). Если условиями
предоставления специального разрешения (лицензии) на
осуществление определенного вида деятельности предусмотрено
требование осуществлять такую деятельность как исключительную,
общество в течение срока действия специального разрешения
(лицензии) вправе осуществлять только виды деятельности,
предусмотренные специальным разрешением (лицензией), и
сопутствующие виды деятельности.
3. Общество считается созданным как юридическое лицо с момента его
государственной регистрации в порядке, установленном
федеральным законом о государственной регистрации юридических
лиц. Общество создается без ограничения срока, если иное не
установлено его уставом.
4. Общество вправе в установленном порядке открывать банковские
счета на территории Российской Федерации и за ее пределами.
5. Общество вправе иметь печать, штампы и бланки со своим
наименованием, собственную эмблему, а также зарегистрированный
в установленном порядке товарный знак и другие средства
13
индивидуализации. Федеральным законом может быть предусмотрена
обязанность общества использовать печать.
Задачей системы защиты предприятия является обеспечение
безопасности данных предприятия, его сотрудников и клиентов. Основным
видом деятельности, который связан с созданием, хранением и обработкой
информации является обработка заявок клиентов.
Таблица 1
Основные характеристики (показатели эффективности) видов
деятельности
№
п\п
Наименование характеристики
(показателя)
Значение показателя
на определённую дату
либо за период (месяц)
1
Среднее количество новых клиентов
480
2
Среднее количество заявок
1800
3
Среднее количество реализованных товаров и
услуг
330
Таким образом, анализирую данные таблицы, видно, что основными
показатели, которые требуют защиты являются данные о количестве новых
клиентов, заказов и реализованных товаров. Повреждение информации о новых
клиентах влечет за собой потерю данных о клиентах, которые необходимы для
дальнейших маркетинговых мероприятий. Потеря данных о заказах может
повлечь репутационные потери, а также ущерб, соответствующий
себестоимости утраченных заказов и недополученной наценки.
1.1.2. Организационно-функциональная структура предприятия
Организационная структура компании представлена на рис. 1. Компанию
возглавляет генеральный директор. У него в подчинении находятся заместители
директора, коммерческий директор, главный бухгалтера, менеджер по кадрам и
юрист.
Директор – главной способностью директора, есть способность
организовать, координировать и контролировать работу сотрудников в
организации. Он компетентен во всех направлениях деятельности организации.
14
Директор принимает окончательные решения по всем ключевым вопросам,
связанным с деятельностью фирмы.
Генеральный
директор
Заместитель
директора по
экономике
Заместитель
директора по
техническому
направлению
Отдел
технического
обслуживания
Коммерческий
директор
Отдел продаж
Отдел закупок
Главный бухгалтер
Бухгалтерия
Менеджер по
кадрам
Отдел кадров
Отдел маркетинга
Менеджер по
продажам
Менеджер по
закупкам
Маркетолог
Специалист по PR
Специалист по
контекстной
рекламе
Специалист по
SMM
Системный
администратор
Сборщик
компьютерной
техники
Мастер по ремонту
компьютерной
техники
Юрист
Рис.1. Организационная структура предприятия
Менеджер по продажам в компании – главное звено в цепочке продаж в
компании, который подотчетный коммерческому директору. В компании это –
коммуникабельный работник с высшим образованием и развитой способностью
убеждения, с навыками стрессоустойчивости в случае отказа от предлагаемых
услуг, творческий человек.
За соблюдением норм закона в сфере бухгалтерии отвечает главный
бухгалтер – работник с высшим экономическим образованием и аналитическим
складом. Главный бухгалтер выполняет работу по ведению бухгалтерского учета
имущества, обязательств и хозяйственных операций (учет основных средств,
товарно-материальных ценностей, затрат на производство, реализации
продукции, результатов хозяйственно-финансовой деятельности; расчеты с
поставщиками и заказчиками, за предоставленные услуги и т. п.). Участвует в