Таблица 1.1 Конфигурация ЛВС
Компонент /
характеристика
Реализация
1
2
Сетевая топология
Звезда
Линии связи
Неэкранированная витая пара категории UTP 5e
Сетевые адаптеры
Ethernet 10/100/1000 Base-T
Маршрутизаторы
-
Коммутаторы
HP ProCurve 2510G-48
Концентраторы
D-Link DES-1008A
Тип сети
Одноранговая
Управление совместным
использованием ресурсов
Ресурсы, требующие централизованного
управления, находятся на сервере, а остальные -
на компьютерах - рабочих станциях
Совместное использование
периферийных устройств
Совместное использование сетевого принтера
Поддерживаемые
приложения
Система комплексной автоматизации
предприятия 1С
Существующее аппаратное обеспечение ООО «Chimple» приведено в
таблице 1.2.
Таблица 1.2 Аппаратное обеспечение ООО «Chimple»
Наименование/
Характеристики
Кол-
во
Примечание
1
2
3
Сервер Fujitsu-Siemens
PRIMERGY RX300S3
1
Windows 2018 Server St Russian
Сервер Helios Fortice A233 с
RAID
1
Windows 2018 Server St Russian, ISA
Server Std Ed 2018 Russian
Рабочая станция, Celeron 430;
1,8 ГГц; 512 МБ
4
Windows 10 Home, Ms Office 2019
Рабочая станция, Pentium 4; 3,6
ГГц; 512 МБ
8
Windows 10 Home, Ms Office 2019
Рабочая станция, Core 2 Duo
E7500; 2,93 ГГц; 1 ГБ
14
Windows 10 Professional, Ms Office
2019
Рабочая станция, Core 2 Duo;
2,93 ГГц; 1 ГБ
7
Windows 10, Ms Office 2019
Ноутбук Sony VAIO, Core i3;
2,1 ГГц; 4 ГБ
1
Windows 10 Professional, Office 2010
Professional
16
Ноутбук Sony VAIO, Core i5;
2,4 ГГц; 4 ГБ
1
Windows 10 Professional, Office 2019
Professional
Пинтер HP Lj 1020
9
Пинтер HP Oj 7000
2
Цветной, сетевой
Пинтер HP Dj 500
1
Плоттер, сетевой
МФУ HP Lj 3050
3
Принтер/сканер/ копир/факс
Копировальный центр Xerox
C118
1
Основу программного обеспечения ЛВС предприятия составляют ОС
Windows 10 и серверная ОС Windows 2018 Std Edition, а также офисный
пакет от фирмы Microsoft – Office 2017 Std Edition.
Сервер выполняет функцию контроллера доменов и 1С сервера
предприятия. Основное назначение домена – это эффективное управление
ресурсами сети, единые параметры безопасности, единая групповая и
локальная политики, единая база пользователей. Все это значительно
упрощающие работу системного администратора организации, если в ней
эксплуатируется большое число компьютеров [2].
Доступ в Интернет осуществляется через интернет шлюз
расположенный на специально выделенном сервере, исполненном на базе
отдельного персонального компьютера. В качестве средства доступа в
Интернет используется выделенный канал с использованием волоконно-
оптического кабеля.
На рабочих станциях используется операционная система Windows 10.
17
1.2 Определение недостатков сети и обоснование необходимости
ее модернизации
1.2.1 Анализ недостатков сети с точки зрения обеспечения бизнес-
процессов организации
Локальная вычислительная сеть компании имеет определенные
недостатки и нуждается в модернизации и реконструкции.
Как уже было сказано выше, локальная вычислительная сеть компании
в настоящее время разбита на два сегмента в разных зданиях. При этом
обмен информацией между отделами, находящимися в разных зданиях,
производится через сеть Интернет, что снижает скорость работы и повышает
вероятность несанкционированного доступа к такой информации.
Кроме того, компания вынуждена нести повышенные расходы для
содержания и обслуживания дублирующего технического обеспечения,
такого, как файловый сервер или коммутаторы.
Основные вопросы, которые необходимо решить для обновления ЛВС
компании:
- объединение сегментов сети с единую сеть;
- оптимизация структуры сети, дальнейшая сегментация локально-
вычислительной сети, как логическая, так и физическая;
- внедрение централизованного управления ресурсами локально-
вычислительной сети;
- замена коммутационного оборудования локально-вычислительной
сети на более скоростное и производительное;
- модернизация кабельной системы локально-вычислительной сети,
создание документации;
- создание системы автоматизированного копирования важных данных;
- повышение уровня защиты информации в сети;
18
- создание резервного канала доступа в Интернет и расширение
пропускной способности имеющегося канала.
1.2.2 Анализ системы обеспечения информационной безопасности
и защиты информации
В ООО «Chimple» функционирует политика безопасности.
Для создания частной политики безопасности нужно утвердить список
всех секретных данных в компании, и подготовить перечень сотрудников,
которые могут иметь доступ к этим данным. Нужно добавить обязательный
пункт в трудовой договор о запрете на разглашение данных, к которым
работник получает доступ в силу служебных обязанностей.
Далее нужно создать ряд нормативно-распорядительных документов:
• Концепция обеспечения ИБ компании.
Она определяет суть и задачи, а также совокупную стратегию
построения полноценной системы поддержания ИБ, базовые требования и
подходы к их реализации, особо важные ресурсы и требования по их защите.
Содержание: понятия и определения, общие положения, суть
концепции, описание объекта защиты, текущие принципы поддержания ИБ,
проведение работ по поддержанию ИБ, меры поддержания ИБ, уровни
ответственности и порядок работы подразделений, процедура
категорирования ЗИ, модель злоумышленника, модель угроз ИБ, требования
по поддержанию ИБ, наказания за нарушения ИБ, история изменений.
• Правила работы пользователей в сети фирмы.
Этот документ описывает текущие правила по поддержанию ИБ при
работе пользователей в сети предприятия.
Содержание: понятия и термины, совокупные положения, совокупные
правила безопасности, предъявляемые к персоналу сети, применение средств
19
анализа данных, предупреждение о вирусной угрозе, требования по
поддержанию ИБ при работе в сети Интернет и электронной почты,
ответственность за поддержание ИБ.
• Политика и регламент восстановления и копирования данных.
Описываемая политика выражает совокупные требования, базовые
принципы и процедуры реализации резервирования информационных
ресурсов фирмы. Она также устанавливает ответственность персонала СБ
реализацию и контроль этих процедур.
Содержание: понятия и термины, совокупные сведения, базовые
положения, требования к системе копирования, условия копирования и
восстановлению типов данных, поддержание безопасности резервных копий,
методика резервного копирования, порядок проведения копирования,
ответственность.
• План восстановления работоспособности ИС по факту аварии.
Этот план выражает базовые меры, методы и средства сохранения
рабочего состояния ИС фирмы при реализации различных аварийных
ситуаций, а также перечень работ по восстановлению процессов анализа
данных в момент нарушения работоспособности ИС ее базовых
компонентов. Также план описывает действия всех категорий персонала ИС
в сложных ситуациях по ликвидации их последствий и уменьшения
реального ущерба.
Содержание: вступление, базовые положения, рабочие группы по
минимизации последствий аварии, технические условия для размещения
серверов, выделение приоритетов для прикладных систем, средства
поддержки непрерывной работы и восстановления, дублирующий
вычислительный центр, тест плана, сопровождение плана.
• Совокупный план защиты информационных ресурсов фирмы от
НСД.
20
Цель настоящего плана заключается в документировании
согласованных решений, а также подготовка и принятие достаточного набора
процедур для минимизации попыток НСД, отслеживания попыток НСД и
ликвидации возможных НСД.
План выделяет мероприятия, проводимые в рамках всего периода
работы системы для уменьшения попыток НСД и их быстрого обнаружения.
План также описывает стратегии реагирования на возможные НСД и
процедуры ликвидации произошедших НСД.
Содержание: контроль реагирования и минимизация попыток НСД,
опережение попыток НСД, нахождение попыток НСД, реагирование на
попытки НСД, сглаживание последствий НСД.
• Политика реализации безопасности удаленного доступа к
ресурсам сети фирмы.
Удаленный доступ к ресурсам фирмы является видом доступа,
реализуемым по внешним каналам связи с применением устройств доступа,
помещенных за пределами охраняемой зоны и не отслеживаемых компанией.
Главные варианты удаленного доступа такие:
• Доступ к сети по коммутируемым каналам связи с применением
телефонной сети;
• Доступ мобильных пользователей к сети по VPN каналам связи
типа «ПК-сеть» через Интернет;
• Подключений удаленных филиалов компании к сети по VPN
каналу типа «сеть-сеть» через Интернет.
Содержание: понятия и термины, совокупные положения, требования
поддержания безопасности удаленного доступа, ответственность, контроль.
• Политика поддержания безопасности в работе с Интернет.
Эта политика описывает:
21
• Роль СБ компании в поддержании ИБ при подключении
отдельных участков корпоративной сети к Интернету;
• Параметры конфигурирования СЗИ, включая коммутаторы и МЭ;
• Параметры программных систем и оборудования, находящемуся
в демилитаризованной зоне сети компании;
• Процедура реализации контроля защищенности внешнего
периметра сети компании.
Содержание: понятия и термины, совокупные сведения, назначение,
сфера применения, базовые положения, отслеживание доступа пользователей
в Интернет, отслеживание доступа пользователей сети Интернет к ресурсам
сети компании, параметры настройки внешних маршрутизаторов, параметры
настройки систем, которые находятся в демилитаризованной зоне,
ответственность.
• Антивирусная политика и меры защиты от компьютерных
вирусов.
Данный документ призван описать систему мер, которая делается СБ
компании, и направлена на защиту ПК, входящих в состав сети компании от
компьютерных вирусов, троянов и прочих деструктивных программ-
шпионов, а также описывает требования к параметрам комплексной системы
антивирусной защиты сети компании и мероприятия, поддерживающие эту
систему в рабочем состоянии.
Содержание: совокупные сведения, базовые положения, состав средств
антивирусной защиты, параметры средств антивирусной защиты, контроль
работы системы антивирусной защиты, общая ответственность.
• Политика применения и выбора паролей.
Эта политика описывает требования к порядку подбора, смены,
использования и другим вопросам, которые связана с механизмом парольной
аутентификации в ИС фирмы.
22
Содержание: понятия и термины, совокупные сведения, базовые
положения, тонкости подбора паролей, поддержание конфиденциальности
паролей, отслеживание и ответственность.
• Правила предоставления доступа в сеть компании.
Правила отражают:
• Очередность предоставления персоналу доступа к ресурсам сети
фирмы;
• Очередность закрытия доступа;
• Очередность корректировки прав доступа;
• Требования к сотрудникам компании в рамках передачи им
доступа к ресурсам сети фирмы;
• Очередность реализации контроля доступа;
• Ответственность персонала фирмы.
Содержание: понятия и термины, совокупные сведения, назначение,
рамки применения, базовые положения, порядок передачи доступа к
ресурсам сети компании, очередность отмены доступа к сети компании,
очередность корректировки прав доступа к сети компании, контроль, общая
ответственность.
• Политика аудита ИБ.
Политика аудита ИБ определяет:
• Базу правил для работы внутренних и внешних аудиторов;
• Возможности внешних и внутренних аудиторов;
• Ответственность аудиторов за поддержание ИБ и адекватного
режима работы ИС компании;
• Рамка и правила проведения аудита ИБ и анализа рисков.
Порядок внутреннего аудита ИБ представляет процесс сбора и анализа
данных, требуемых для оценки уровня ИБ компании при реализации
внутреннего аудита. Такая процедура помогает оценить адекватность
23
созданных в ИС механизмов безопасности, соотнести систему обеспечения
ИБ требованиям бизнеса, безопасности и законодательства.
Содержание: понятия и термины, совокупные сведения, базовые
положения, рамки проведения аудита в компании, контроль рисков,
ответственность.
• Соглашение о соблюдении уровня ИБ, заключаемое со
сторонними компаниями.
Это соглашение необходимо для обеспечения ИБ ресурсов компании,
доступ к которым дается партнеру на период активности соглашения. По
нему партнер обязуется хранить и не разглашать данные, включающие
коммерческую или служебную тайну компании, а также поддерживать
выполнение требований по ЗИ от НСД, вирусов и прочих угроз, которые
связаны с нарушением доступности или целостности данных фирмы.
Содержание: совокупные положения, предмет соглашения,
обязанности и права сторон, хранение документов, общая ответственность,
период действия соглашения, решение спорных моментов.
• Политика установки нового ПО.
Настоящая политика отражает систему мер для поддержания
корректной работы системного ПО и приложений, защиты от троянов и
вирусов, применяющих для своего распространения типичные уязвимости
ПО, атаки со стороны сети Интернет и другие угрозы безопасности.
Содержание: понятия и термины, совокупные сведения, базовые
положения, состав системы контроля обновлений, требования к параметрам
системы установки обновлений, ответственность.
• Стандарт на антивирусное ПО.
Этот документ отражает процесс анализа нарушений политики фирмы,
а также планирования и реализации мер поддержанию ИБ.
Реализации данных целей помогает решение таких задач, как:
24
• Выделение методов нахождения нарушений и типичных проблем
с ИБ;
• Определение и сообщение о нарушениях;
• Выделение причин реального или возможного нарушения и отчет
по итогу их анализа;
• Планирование обновленных и новых мер;
• Применение обновленных и новых мер;
• Изучение итогов реализации мер по поддержанию ИБ.
Содержание: вводная часть, цели процедуры, характеристика
процедуры, условия запуска процедуры, начальные данные, итоговые
данные, условия окончания процедуры, описание прохождения процедуры,
распределение ответственности и ролей, требования по квалификации,
данные процедуры, приложения.
• Положение о защите секретных данных и перечень сведений
закрытого доступа.
Этот документ отражает систему мероприятий по ЗИ в фирме, включая
правила деления, правила маркирования, правила обращения с секретными
данными и ответственность персонала компании за поддержание режима
конфиденциальности данных.
• Перечень сведений, включающих секретные данные, а также
пример соглашения о конфиденциальности.
Содержание: область и сфера применения, совокупные положения о
коммерческой тайне, правила деления информации, угрозы неправомерного
раскрытия конфиденциальной информации, типы маркировки документов,
включающих конфиденциальную информацию, правила перехода данных к
категории секретной, правила обращения с секретными данными, правила
работы с данными, которые конфиденциальны, разделение ответственности,