5
Содержание
ВВЕДЕНИЕ………………………………………….………………....…….6
I АНАЛИТИЧЕСКАЯ ЧАСТЬ……………………………………………...8
1.1. Технико-экономическая характеристика предметной области и
предприятия………………………………………………..….…………………......8
1.1.1. Характеристика предметной области..………………........................8
1.1.2. Организационно-функциональная структура предприятия………11
1.2. Анализ рисков информационной безопасности……...………...........13
1.2.1 Определение и оценка информационных активов…………………13
1.2.2. Оценка уязвимостей активов…………..…………………................15
1.2.3. Оценка угроз активам предприятия.………………..……………....18
1.2.4. Оценка существующих и планируемых средств защиты…………20
1.2.5. Оценка рисков…………………………………..…………………....22
1.3. Описание комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии…………………….….....….......................24
1.3.1. Выбор комплекса задач для обеспечения информационной
безопасности………………………………………………………...…….………..24
1.3.2. Определение места проектируемого комплекса в составе задач
организации, уточнение задач информационной безопасности и защиты
информации ……………………………………………...…………………………28
1.4. Выбор защитных мер информации на предприятии….….………….32
1.4.1. Организационные меры по защите информации...………………. 32
1.4.2. Инженерно-технических меры по защите информации…..............36
II ПРОЕКТНАЯ ЧАСТЬ…………………………….....…….….................38
2.1. Комплекс мер для обеспечения информационной безопасности и
защиты информации предприятия..……………….………………........................38
6
2.1.1. Отечественная и международная нормативно-правовая основа
обеспечения информационной безопасности и защиты информации
предприятия………………………………..…………………………….................38
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия……………………………………………………………...................42
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия……………………………………………………………...................47
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия................................................47
2.2.2. Контрольный пример реализации проекта и его описание….........54
III ОБОСНОВАНИЕ ЭКОНОМИЧЕСКОЙ ЭФФЕКТИВНОСТИ
ПРОЕКТА……………………………………………………………………..…….58
3.1 Выбор и аргументация методики расчёта экономической
эффективности………………………………………………………..…………….58
3.2 Расчёт показателей экономической эффективности проекта.………62
ЗАКЛЮЧЕНИЕ……………………………………..……………...............65
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ……………………….69
Приложение 1
7
Введение
Проблема обеспечения защиты информации касается всех и каждого, а
также является одним из важных компонентов для устойчивого
функционирования информационной структуры любого предприятия. Она
необходима для уменьшения рисков как в частных компаниях, так и в
государственных предприятиях.
Помимо организации защиты программными и аппаратными средствами,
немаловажным аспектом безопасности являются правила и нормы в области
информационной безопасности, важное значение имеет сбор, хранение и
обработки данных. Необходимо уделять пристальное внимание вопросам
информационной безопасности.
Практически каждый компонент информационной системы может
подвергнуться внешнему воздействию или выйти из строя.
Распространение информационных систем усиливает возможности их
взлома и кражи информации. Проблема компьютерной преступности во всех
странах мира, независимо от их нахождения, вызывает необходимость
привлечения внимания и сил общественности для организации борьбы с
данным видом преступлений. Уровень внедрения новейших информационных
технологий в практику в России не столь значителен, как в зарубежных
странах, но количество компьютерных преступлений, с каждым днем растет, а
защита государства и общества от них превратилась в «задачу №1» для органов
безопасности.
Неизбежным следствием становятся увеличивающиеся расходы и усилия
на защиту информации. Обеспечение информационной безопасности
достигается организационными и техническими мероприятиями, каждое из
которых обеспечивается специфическими силами, средствами и мерами,
обладающими соответствующими характеристиками.
Поиск талантливых профессионалов по безопасности может быть весьма
трудным, а переподготовка имеющихся кадров в области ИТ и новичков в
8
области безопасности — долгой и дорогостоящей. Возможен еще один вариант
— привлечение внешних компаний для решения проблем безопасности. Но в
этом случае вы должны будете избрать ту компанию, которой вы готовы
доверить все свои секреты
Задача обеспечения информационной безопасности должна решаться
системно. Для сотрудников отдела информационной безопасности необходимо
постоянно отслеживать развитие технических и информационных систем,
публикуемых в периодической печати и следить за изменениями новых средств
защиты данных.
9
I АНАЛИТИЧЕСКАЯ ЧАСТЬ
1.1. Технико-экономическая характеристика предметной области и
предприятия.
1.1.1. Характеристика предметной области
ГБУ «Инфогород» оказывает услуги в сфере информационных
технологий в Москве. Целью, для которой создано компания, является
выполнение работ по методическому, организационному и информационно-
аналитическому сопровождению реализации задач города Москвы в области
информационных технологий, по созданию, эксплуатации, модернизации и
поддержке функционирования информационных систем и ресурсов города
Москвы, перечень которых согласуется Департаментом информационных
технологий города Москвы, а также по централизованному размещению и
обеспечению работоспособности компонентов информационных систем города
в ЦОДах (центрах обработки данных).
Виды деятельности предприятия:
1. информационно-аналитическое и организационно-методическое
сопровождение и поддержка процессов программно-целевого управления в
сфере информационных технологий города;
2. выполнение работ по управлению, подготовке материалов и
сопровождению реализации отраслевых и межотраслевых проектов в сфере
развития информационных технологий;
3. обеспечение реализации мероприятий города по информационной
поддержке и продвижению проектов в сфере информационных технологий;
4. информационно-аналитическое, методическое и сервисное
сопровождение закупок, осуществляемых предприятием;
5. обеспечение создания, эксплуатации, модернизации и поддержания
функционирования информационных систем и ресурсов;
6. обеспечение размещения и работоспособности компонентов
информационных систем в ЦОДах;
10
7. учет программных мероприятий в области информационных
технологий и результатов их реализации, в том числе достижения целевых
показателей;
8. обеспечение планирования и мониторинга расходов бюджета города и
показателей финансового плана Москвы в области информационных
технологий;
9. выполнение работ по обеспечению выполнения функций, оказания
услуг, выполнения работ учреждениями и организациями, подведомственными
Департаменту информационных технологий Москвы;
10. организационная поддержка в создании и развитии площадок
инновационной инфраструктуры в сфере развития информационных
технологий в городе;
11. разработка регламентов унификации и стандартизации в области
информационных технологий;
12. подготовка изменений в программы города в области
информационных технологий;
13. проведения анализа эффективности реализации программ Москвы в
области информационных технологий;
14. подготовка предложений по нормативному правовому
регулированию использования информационных технологий;
15. управление проектами с привлечением внебюджетных инвестиций,
осуществляемыми при реализации задач, которые ставит Москва в области
информационных технологий;
16. обработка и анализ экономических, статистических и иных данных в
области информационных технологий;
17. подготовка аналитических обзоров, отчётов и прочих
информационных материалов в области информационных технологий;
18. проведение мониторинга средств массовой информации в сфере
электронных технологий и подготовка отчетов на основании мониторинга;
11
19. информационное сопровождение и консультационная поддержка
деятельности по развитию информационных технологий и ресурсов на
территории Москвы.
Упростить доступ к медицинским услугам, став залогом оздоровления
нации. Содействовать формированию полноценного гражданского общества,
освобождённого от ненужных административных барьеров, обладающего
большими возможностями для самореализации и улучшения качества своей
жизни.
Неотложная задача - оптимизация транспортных потоков за счёт
внедрения эффективных и производительных механизмов автоматизации
движения и управления пассажиропотоком. Передвижение по городу должно
быть не только простым и быстрым, но и безопасным.
Информационные технологии уже неотъемлемая часть жизни города –
Wi-fi в транспорте, госуслуги, всевозможные приложения для улучшения
жизни в Москве (например, «Активный гражданин») и т.д. Все это является
только частью работы, которой занимается ГБУ «Инфогород». За всю историю
с первого дня работы сотрудники компании внесли огромный вклад в
улучшение качества жизни граждан. Мэрия города поставила перед
организацией сложную, но очень интересную и нужную задача, и ГБУ
«Инфогород» достойно с ней справляется.
12
1.1.2. Организационно-функциональная структура предприятия.
Схема. 1. Организационная структура управления компанией ГБУ
«Инфорогод»
Генеральный директор возглавляет ГБУ «Инфогород», срок заключения
контракта – 5 лет. Он обеспечивает выполнение государственного задания в
полном объеме, обеспечивать постоянное повышение качества выполняемых
услуг. Так же составление и выполнение в полном объеме плана финансово-
хозяйственной деятельности Учреждения в соответствии с порядком,
определенным правительством Москвы.
На двух заместителей генерального директора делегированы задачи
контроля за работой подчиненных отделов.
•Заместитель генерального директора
•Заместитель генерального директора
•Отдел интегрированных решений и проектов
•Отдел сопровождения отраслевых проектов
•Отдел разработки
•Отдел информационной безопасности
•Отдел сетей, серверных систем и баз данных
•Отдел технологии и качества
•Отдел аналитики и статистики
•Отдел тестирования
•Отдел контроля и пралнирования
•Отдел аналитики и статистики отрасли информационно-
коммуникационных технологий
•Отдел финансового анализа
•Отдел сопровождения закупок по постановке,
эксплуатации и оказания услуг
•Отдел информационного сопровождения
государственного программы "Информационных город"
•Отдел организации внешних и корпоративных
коммуникаций
•Отдел кадров
•Отдел диспетчерской службы
•Отдел обеспечения деятельности и технической
поддержки
•Отдел бухгалтеркого учета и отчетности
•Договорной отдел
•Отдел цен и тарифов
•Отдел управления инцидентами
•Отдел второй линии технической поддержки
Генеральный директор
13
Отделы финансового спектра осуществляют организацию ведения
бухгалтерского учета, формирует учетную политику компании, осуществляет
контроль над соблюдением порядка оформления первичных и бухгалтерских
документов.
В обязанности сотрудников отдела информационной безопасности
входит контроль за физической охраной носителей информации посредством
их учета, доступа пользователей к защищаемым ресурсам в соответствии с
планом доступа, настройка антивирусных средств, проверка на наличие
компьютерных вирусов на ПК пользователей, проведения обучения
технического персонала процедурам работы с техническими средствами.
Администраторы информационных систем осуществляют настройку
параметров, контроль работоспособности, назначение и блокировку прав
доступа пользователей к функциям ИС, обеспечивают работу программного
обеспечения ИС, а также выдачу связки логин-пароль пользователям для
работы с ИС.
Администраторы инфраструктуры информационных систем занимаются
установкой, настройкой, конфигурированием и мониторингом
работоспособности программно-технических средств ИС, инсталляцией и
настройкой прикладного ПО, резервным копированием и аварийным
восстановлением инфраструктуры, техническим обслуживанием оборудования
серверной части ИС.
Все остальные отделы занимаются задачами, которые присутствуют в
названии своих структурных подразделений.
14
1.2. Анализ рисков информационной безопасности
1.2.1 Определение и оценка информационных активов.
Рассмотрением рисков, связанных с использованием информационных
систем, является расценка угроз и уязвимостей, а также определение комплекса
противодействий, обеспечивающего достаточный степень защищенности ИС.
При оценивании рисков учитываются многие факторы: ценность ресурсов,
значимость угроз, уязвимостей, эффективность имеющихся и планируемых
средств защиты и многое другое.
Величина потерь выражает ценность актива, а также понесет ли
организация потери в случае нарушения целостности актива. Финансовая
устойчивость отражает уровень риска деятельности предприятия с позиций
сбалансированности или превышения доходов над расходами. Она
обеспечивается высокой долей собственного капитала в общей сумме
используемых финансовых средств.
Фактор риска характеризует несоответствие между требуемой
величиной оборотных активов и возможностями собственных и заемных
средств по их формированию.
Процесс управления направлен на определение событий, которые могут
оказать влияние на организацию, и на управление связанным с этими
событиями риском. При этом обеспечивается контроль над допустимым
уровнем риска при разумной гарантии достижения целей организации.
Можно попробовать — при помощи руководства и работников
организации — осмыслить, что же на самом деле нужно защищать и от кого. С
этого момента начинается специфическая деятельность на стыке технологий и
основного бизнеса, которая состоит в определении того направления
деятельности и целевого состояния обеспечения информационной
безопасности, которое будет сформулировано одновременно и в бизнес-
терминах, и в терминах ИБ.