129
Рисунок 2.33
На следующем шаге проверяем все выбранные параметры и нажимаем
кнопу Готово.
В результате работы мастера, мы увидим, что в разделе зоны
обратного просмотра появилась новая зона 1.168.192.in-addr.arpa – рисунок
2.33.
Рисунок 2.34
Следующим этапом в реализации СЗИ на базе домена Active Directory
станет создание структуры домена и настройка групп доступа к основным
файловым ресурсам и информационным системам с помощью оснастки
Active Directory – пользователи и компьютеры.
130
Для примера разберем предоставление прав доступа к
информационным ресурсам сотруднику отдела Бухгалтерии.
Согласно дереву структуры Active Directory, создаем в оснастке
управления Active Directory – пользователи и компьютеры структуру,
включающую в себя следующие объекты типа Подразделение (Organisation
Unit – далее OU):
Access_group
o FS
o IS
Departments
o Accounting
В OU Accounting создаём объект типа Группа с именем в формате
DEP_название отдела. В нашем случае создаем группу DEP_Accounting.
Также в OU Accounting создаём объекты типа Пользователь с логином
вида ИО_Фамилия – рисунок 2.34.
Рисунок 2.35
В OU FS, на основании политики информационной безопасности,
рассмотренной ранее и шаблонов NTFS-прав доступа для каталогов
файловых ресурсов, создаём структуру, соответствующую имеющейся
структуре ресурсов на файловом сервере – рисунок 2.35.
131
Рисунок 2.36
В OU IS, на основании политики информационной безопасности,
рассмотренной ранее создаём структуру, соответствующую имеющимся в
компании информационным системам. Именование групп доступа к
информационным системам приводим к шаблону IS_Название
информационной системы - рисунок 2.36.
Рисунок 2.37
Объекты типа Пользователь, принадлежащие сотрудникам отдела
Бухгалтерия мы включаем г ранее созданную группу DEP_Accounting. Саму
группу DEP_Accounting мы включаем в те группы из OU IS и OU FS, к
132
ресурсам которых сотрудники отдела Бухгалтерия должны иметь доступ,
согласно набору прав доступа из политики информационной безопасности,
рассмотренной в разделе 2.5 – рисунок 2.37
Рисунок 2.38
После реализации описанной выше инструкции, процесс управления
правами доступа будет выглядеть как представлено на рисунке 2.38
133
Созданиенового
ресурса
Предоставление
правдоступа
Изменениеправ
доступа
Блокирование
правдоступа
Создаютсягруппыдоступапользователей.Еслифайловыйинформационныйресурсразмещён
насерверевдомене,тосоздаютсядоменныегруппы.Еслинет,толокальныенасервере.
Накорневойкаталогипромежуточныекаталогифайловогоинформационногоресурса
назначаютсяправадоступасогласношаблонамправдоступа.
Вгруппыдоступапользователейдобавляютсяучетныезаписипользователейвсоответствиис
ихполномочиями
Учетнаязаписьпользователяпомещаетсявсоответствующуюгруппудоступапользователяв
зависимостиотегополномочий.
Принеобходимостидляфайловогоинформационногоресурсасоздаетсясетеваяпапка(shared
folder).
Учетнаязаписьпользователяперемещаетсявдругуюгруппудоступапользователейв
зависимостиотуказанныхполномочий.
Учетнаязаписьпользователяудаляетсяизгруппдоступапользователейфайлового
информационногоресурса.Еслиработникувольняется,точленствовгруппахнеменяется,а
блокируетсяучетнаязаписьцеликом.
Рисунок 2.39
После реализации всех мер по модернизации локальной сети и внедрению СЗИ
на основе Active Directory, аппаратная и программная архитектуры ООО
«Технолинк» должны иметь вид, показанный на рисунках 2.39 и 2.40.
134
Склад
Директор
«Серверная»
1йЭтаж
(Отделпродаж,отделлогистики,ОМТС)
2йЭтаж
(Тех.директор,ИТ,Бухгалтерия)
APASUSRT‐N11PB1
Сервер
HPML310eGen8
Cat.5e
ПКнабазе
IntelCorei3‐4170
HPProBook4545s
Kyocera
FS‐1035MFP
HPLJMFP
M227fdw
Lenovo
Th inkPadT440s
ПКнабазе
IntelCorei3‐4170
Kyocera
FS‐1035MFP
HPProBook4545s
Cat.5e
Cat.5e
Cat.5
Cat.5e
Cat.5e
Cat.5e
Cat.3
ПКнабазе
IntelCorei3‐4170
HP
LJ1020
Cat.5e
USB
Cat.5e
Cat.5e
Cat.5e
Интернет
ASUSGX1005B
ASUSGX1005B
ASUSGX1005B
ASUSRT‐N66U
NASNetgear
ReadyNAS104
IntelXeonE3‐1220V2
32GbRAM
1024GbHDD(RAID1)
AMDA4‐4300M
RadeonHD7420G
4GbRAM
500GbHDD
IntelCorei34170
NVIDIAGFGTX750
4GbRAM
500GbHDD
IntelCorei34170
HDGraphics4400
4GbRAM
500GbHDD
AMDA4‐4300M
RadeonHD7420G
4GbRAM
500GbHDD
IntelCorei34010U
IntelHDGraphics4400
8GbRAM
1024GbHDD
IntelCorei34170
HDGraphics4400
4GbRAM
500GbHDD
«VMHosts»
VM:
RDP
VM:
AD,DNS,DHCP,FS
VMCPU#2Core
8GbRAM
200GbHDD
VMCPU#8Core
16GbRAM
500GbHDD
Рисунок 2.40
135
Yandexbrowser
MicrosoftSecurity
Essentials
MicrosoftOff ice
2013Standard
1С:Предприятие
8.3
Yandexbrowser
MicrosoftSecurity
Essentials
MicrosoftOffice
2013Standard
КОМПАС3D16.1
Windows7SP3Prof
Windows7SP3Prof/
Windows10Prof
MicrosoftOutlook
2013
MicrosoftOutlook
2013
Интернет
SMB
HTTP/HTTPS
RDP
HTTP/HTTPS
SMTP/IMAP
FTP
HTTP/HTTPS
SMTP/IMAP
FTP
SMB
HTTP/HTTPS
RDP
MSHyper‐VRole
MicrosoftHyper‐V
Server2012R2
AladdinHASP
Licensemanager
MicrosoftSecurity
Essentials
Role:DC
Windows2008R2Std
RoleDHCP
MicrosoftSecurity
Essentials
1С:Предприятие
8.3
Windows2008R2Std
AladdinHASP
Licensemanager
MicrosoftSecurity
Essentials
Role:FS
Role:DNS
Рисунок 2.41
136
3 Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчёта экономической
эффективности
Эффективность принятых мер защиты принято оценивать по трем
показателям:
• Достаточность,
• Адекватность результата;
• Качество реализации.
При этом принятые меры можно назвать достаточными, если они могут
на 100% устранить заявленные угрозы или создать условия, при которых
ущерб от угроз будет приемлемым и минимальным для владельца. Однако
любая мера защиты лишь немного способствует устранению самой проблемы.
Реально оценить уровень эффективности мер в совокупности способен только
квалифицированный специалист.
При этом приходится учитывать взаимосвязь ресурсов. Например, если
несколько приложений используют одну базу данных для работы, то ошибка
лишь в одном из них может послужить хорошим вариантом проникновения
внутрь сети или системы для нарушителя и получения нужного доступа
независимо от степени защищенности других приложений.
Адекватность может оценивать соотношение затрат на разработку
механизма защиты и полученного результата. Часто эффект от внедрения
решения, которое предлагают системные интеграторы, не сопоставляется с
огромными затратами на внедрение и эксплуатацию. Более того, нередки
случаи, когда подобные изменения приводили к отрицательным
последствиям.
137
Именно поэтому об эффективности и качестве метода защиты нужно
говорить только тогда, когда данный механизм не просто реализован, но и
постоянно контролируется.
Выявление эффективности организации ИБ на предприятии несет за
собой некоторую оценку затрат на ИБ, а также возможного эффекта от
подобной реализации. В действительности, сравнение подобных оценок дает
возможность получить корректное представление о том, как могут вернуться
инвестиции на ИБ, а также позволяет более корректно планировать бюджет
компании на ИБ и управлять им.
Большинство решений в области защиты данных часто принимается на
интуитивно-понятийном уровне, не используя при этом каких-то
экономических расчетов или обоснований. Однако, всегда рекомендуется
обратиться к более обоснованным методам и средства, которые дают
возможность количественно измерить уровень ИБ компании, а также
определиться экономическую эффективность затрат на информационную
безопасность.
Сейчас оценка эффективности корпоративной системы защиты данных
выполнима при помощи нескольких критериев эффективности, например:
показателей совокупности владения (ТСО), общей экономической
эффективностью СЗИ, а также коэффициентом возврата инвестиций на ИБ
(ROI).
К примеру, известная методика совокупной стоимости владения была
предложена еще компанией Gather Group еще в конце 80-х годов для
оценивания затрат на информационные технологии. Предложенная Gather
Group методика позволяла быстро рассчитать всю расходную часть
корпоративной ИС.
Сейчас методика ТСО также может быть использована для указания
экономической эффективности существующих корпоративных систем защиты
данных. Она дает возможность руководителям служб ИБ обосновывать
138
указанный бюджет на затраты по ИБ, а также демонстрировать эффективность
работы всего отдела по безопасности.
Так как оценка экономической эффективности системы защиты данных
корпоративной среды является измеримой, то появляется реальная
возможность быстро решать задачи контроля и корректировки всех
показателей экономической эффективности, к примеру, параметра ТСО. В
таком случае данный показатель послужит инструментом оптимизации
расходов на доведение требуемого уровня защищенности КИС и
последующего обоснования бюджета на ИБ. Компания может самостоятельно
провести такие работы, а также привлечь системного интегратора и продумать
область защиты данных совместно с ним.
Оценка существующего уровня ТСО.
При работах по оценке ТСО часто проводится сбор данных и подсчет
показателей ТСО компании по следующим позициям:
• Все составляющие КИС (с системой защиты данных) и
информационные активы формы (сервера, компьютеры, периферийные
устройства, сетевые устройства);
• Затраты на программные и аппаратные средства защиты данных
(расходники, амортизация);
• Расходы на организацию ИБ в компании (управление СЗИ и СКЗИ,
а также штатными средствами защиты периферии, серверов, сетевых
устройств, планировка и контроль над процессами защиты данных, разработка
прототипа политики безопасности);
• Оплата организационных мер защиты данных;
• Косвенные расходы на организацию ИБ на предприятии, в
частности обеспечение непрерывности и стабильности бизнес-процессов.
В результате проведения беседы с топ-менеджерами компании и
проведения проверок уровня защищённости происходит анализ:
• Используемых политик безопасности;
• Организации защиты;