Оглавление
Введение ......................................................................................................................... 7
I Аналитическая часть ................................................................................................. 10
1.1. Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения) ....................................................................... 10
1.1.1. Общая характеристика предметной области .................................................. 10
1.1.2. Организационно-функциональная структура предприятия .......................... 13
1.2. Анализ рисков информационной безопасности ................................................ 14
1.2.1 Идентификация и оценка информационных активов ..................................... 14
1.2.2. Оценка уязвимостей активов ............................................................................ 18
1.2.3. Оценка угроз активам ....................................................................................... 21
1.2.4. Оценка существующих и планируемых средств защиты .............................. 23
1.2.5. Оценка рисков .................................................................................................... 29
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ....................................................................... 32
1.3.1. Выбор комплекса задач обеспечения информационной безопасности ....... 32
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации .................................................................................................................. 34
1.4. Выбор защитных мер ........................................................................................... 35
1.4.1. Выбор организационных мер ........................................................................... 35
1.4.2. Выбор инженерно-технических мер ................................................................ 38
II Проектная часть ....................................................................................................... 48
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия .................................................. 48
6
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия ................................................................................................................. 48
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия ................... 53
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ................... 60
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия .................................................. 60
2.2.2. Контрольный пример реализации проекта и его описание ........................... 78
III Обоснование экономической эффективности проекта ....................................... 90
3.1 Выбор и обоснование методики расчёта экономической эффективности ...... 90
3.2 Расчёт показателей экономической эффективности проекта ........................... 92
Заключение ................................................................................................................... 97
Список литературы ...................................................................................................... 99
Приложение 1. Политика безопасности компании NetByNet ............................... 101
Приложение 2. Модель угроз информационной безопасности ............................ 109
7
Введение
На современной стадии эволюции нашего общества некоторые
традиционные ресурсы человеческого развития понемногу утрачивают свое
первоначальное предназначение. На смену им приходит новые ресурсы,
единственные продукты не убывающие, а растущие со временем. Они носят
название информационных ресурсов. Информация стала в настоящее время
основным ресурсом научно-технического и социально-экономического
прогресса в мировом сообществе. Чем в большей степени и с большей
скоростью внедряют качественную информацию в экономику и специальные
отрасли хозяйства, тем выше становится жизненный уровень населения, а также
экономические, военные и политические возможности государства.
В настоящий момент налаженная и широко распределенная сеть
информационных и вычислительных комплексов играет такую же важную роль
в жизни, какую в прошлом имели электрификация, телефонизация, радио и
телевидение, взятые вместе. Ярким примером этого утверждения явилось
появление и развитие глобальной информационной сети Intеrnеt. В настоящее
время говорят о новом витке спирали развития общественных формаций -
информационное общество.
Любая деятельность в области предпринимательства является тесно
связанной с приемом, накоплением, сохранением, обработкой и применением
различных информационных потоков. Целостность существующего
мироустройства как единого глобального сообщества обеспечивает, в основном,
интенсивный информационный обмен. Остановка глобальных информационно-
коммуникационных потоков даже на совсем короткий промежуток времени
способна приводить к не меньшим кризисам, чем разрывы межгосударственных
экономических связей. Поэтому, в новых рыночно-конкурентных условиях
появляется большое количество новых проблем, которые связаны не только с
обеспечением целостности и конфиденциальности коммерческих, финансовых
или предпринимательских данных как видов интеллектуальной собственности,
но также и физических и юридических лиц, их имущественной собственности и
личной безопасности.
8
Как утверждается в известном афоризме «цель оправдывает средства»,
информация также имеет определенную стоимость. Следовательно, сами факты
получения данных злоумышленниками приносят им определенные доходы,
ослабив тем самым возможность конкурента к равному коммерческому
состязательству. Главной целью злоумышленников является получение сведений
о составе, состояниях и видах деятельности объектов, являющихся
конфиденциальными интересами (фирма, изделие, проект, рецепт, технология и
др.) в целях насыщения своей информационной потребности. Корыстные цели
злоумышленников или конкурентов могут заключаться и во внесении
определенного изменения в состав данных, которые циркулируют на объектах
конфиденциального интереса. Такие действия могут приводить к
дезинформации в определенной сфере деятельности, учетных данных, в
результатах решения некоторой задачи. Более опасными целями являются
уничтожение накопленного информационного массива в документной или
компьютерной формах, или программного продукта. В связи с этими фактами
большое значение приобретают методы организации эффективных систем
информационной безопасности организации.
Информационной безопасностью называется комплекс мер по защите
данных от неавторизованного доступа, разрушений, модификаций, раскрытий
или задержки при доступе. В информационную безопасность включаются меры
по защите процесса создания информации, её ввода, обработки и вывода. Цель
информационной безопасности состоит в том, чтобы обезопасить ценность
систем, защищать и гарантировать точность и целостность данных, а также
минимизировать последствия, которые могут возникнуть в том случае, когда
данные будут модифицированы или разрушены. В рамках информационной
безопасности требуется учет всех действий, в ходе которых информация
создается, подвергается модификации, когда к ней осуществляется доступ или
она распространяется по сети.
Цель данной выпускной квалификационной работы состоит в увеличении
уровня защиты данных в информационной системе компании.
Исходя из поставленной цели работы, необходимо решить следующие
задачи:
9
1. Исследовать существующую инфраструктуру и получить исходные
данные для проектирования VPN.
2. Проанализировать риски.
3. На основе анализа риска выбрать организационные и инженерно-
технические решения для повышения уровня ИБ в компании.
4. Описать процесс внедрения выбранных средств защиты информации с
использованием VPN.
5. Рассчитать экономическую эффективность внедряемых средств.
10
I Аналитическая часть
1.1. Технико-экономическая характеристика предметной области
и предприятия (Установление границ рассмотрения)
1.1.1. Общая характеристика предметной области
NetByNet - российская телекоммуникационная компания. Полное
наименование - общество с ограниченной ответственностью «Нэт Бай Нэт
Холдинг». Штаб-квартира находится в Москве.
История компании ведет начало с 1999 года, когда один из основателей
NetByNet Александр Милицкий организовал Интернет-провайдера ООО «ТОР
Инфо». Учредителями провайдера выступила группа частных лиц, вложившая в
проект 103 тыс. долларов США. Компания «ТОР Инфо» сделала ставку на
широкополосный доступ по технологии Ethernet, впервые в России став
использовать для прокладки магистралей между домами оптоволоконный
кабель.
В 2001 году параллельно была создана компания «Консул», оказывавшая
услуги домашним сетям по легализации и организации бизнеса. «ТОР Инфо» и
«Консул» сотрудничали с другими домашними сетями, в частности, предлагая
им магистральный Интернет-трафик.
В конце 2001 года было принято решение о запуске общего бренда
NetByNet. Операторы, начавшие работать под единым брендом, принадлежали
различным собственникам, однако вели совместный бизнес: сообща закупали
Интернет-трафик, пользовались единым биллингом, выпускали единые
пластиковые карты оплаты. Кроме того, некоторые члены группы предоставляли
услуги по идентичным ценам.
В начале 2007 года «Нэт Бай Нэт Холдинг» приобрел одного из
известнейших операторов на рынке корпоративного обслуживания ORC.
Расширение услуг не заставило себя ждать, и к хорошо известным
возможностям по подключению корпоративных клиентов к сети Интернет
добавились услуги по телефонии, хостингу и коллокейшн.
11
NetByNet предоставляет услуги связи частным и корпоративным
пользователям, в том числе услуги широкополосного доступа в Интернет,
цифрового телевидения, виртуального хостинга, системной интеграции.
Компания работает в Москве, Московской области, Белгородской области,
Воронежской области, Курской области, Липецкой области, Орловской области,
Ростовской области, Тверской области, Республике Чувашия, Ханты-
Мансийском автономном округе и т. д. География присутствия NETBYNET
включает 47 городов.
Миссия компании:
открывать перед людьми возможности Интернета и
телекоммуникационных услуг;
улучшать жизни людей, предоставляя им возможность общаться лучше,
чем, когда бы то ни было;
предоставлять сотрудникам и акционерам возможность процветания.
NetByNet – молодая, динамично развивающаяся и близкая своим клиентам
компания, которая старается максимально полно соответствовать желаниям и
потребностям абонентов. Отличительными чертами компании являются:
использование современных технологий для предоставления услуг клиентам,
постоянное расширение спектра оказываемых услуг, внимание к пожеланиям и
потребностям клиентов, активная и открытая политика общения с клиентами.
Выручка интернет-провайдера и оператора кабельного телевидения «Нэт
Бай Нэт Холдинг» (NetByNet) в 2016 году увеличилась на 60 процентов по
сравнению с предыдущим годом до 4,14 миллиарда рублей.
По сравнению с 2015 годом абонентская база NetByNet увеличилась на 47
процентов и составила более 746 тысяч абонентов на конец 2016 года. В число
клиентов NetByNet входят 710 тысяч физических лиц и более 36 тысяч
корпоративных абонентов.
Абонентская база NetByNet на конец 2017 года составила почти 895 тысяч
клиентов, что на 20% больше, чем в 2016 году. Клиентская база NetByNet
включает более 853 000 физических лиц и около 41 тысячи корпоративных
абонентов. Компания показывает стабильный прирост абонентской базы по всем
направлениям бизнеса. Количество клиентов платного телевидения в 2017 году в
12
массовом сегменте увеличилось более чем в полтора раза, телефонии в два раза,
а доступа в интернет на 10%. Корпоративные клиенты предпочитают покупать
услуги пакетом, таких пользователей около 38% в b2b-базе оператора. Выручка
NetByNet увеличилась в 2017 году на более чем 20% и составила 5,023
миллиарда рублей.
Таблица 1.1
Показатели роста компании NetByNet
Показатели
Ед. изм.
2015
2016
2017
Абонентская база
тыс. чел.
508
746
895
Физические лица
тыс. чел.
483
710
853
Корпоративные клиенты
тыс. чел.
25
36
41
Выручка
млрд. руб.
2,59
4,14
5,02
Среднее увеличение трафика в сети NetByNet составило 33,5%
относительно показателей прошлого года. Это связано с тем, что клиенты с
каждым годом все больше работают с тяжелым контентом: скачивают и смотрят
онлайн видео в HD, играют в онлайн игры и т.д. Наиболее активными
пользователями домашнего Интернета NetByNet являются жители Москвы,
Чебоксар, Сургута, Белгорода и Курска.
Как отмечают в компании, рост абонентской базы происходил как за счет
увеличения количества пользователей самой NetByNet, так и за счет
приобретения и присоединения региональных операторов связи [23].
В ноябре 2014 года NetByNet запустил продукт WiFire в Московском
регионе. Продукт объединяет услугу по организации домашнего доступа в
Интернет и беспроводного цифрового телевидения WiFire TV, которое работает
на сети любого оператора связи. В январе 2015 года оператор запустил услугу
мобильного доступа в Интернет LTE WiFire Mobile на базе инфраструктуры
компании «МегаФон».
В целом, NetByNet функционирует стабильно, имеет прибыль, несмотря
на общую экономическую нестабильность, которая связана с повышением или
понижением цен на рынке.
13
1.1.2. Организационно-функциональная структура предприятия
NetByNet – организация, в составе которой работают высококлассные
специалисты: инженеры, монтажники, системные администраторы,
программисты, дизайнеры, бухгалтеры, юристы. Слаженная работа команды
позволяет клиентам компании легко и быстро решать самые сложные
технические, финансовые и правовые вопросы. Пользователи сети знают, что в
случае необходимости служба технической поддержки оперативно выезжает на
место и устраняет неисправность.
Организационная структура компании NetByNet представлена на рис. 1.1.
Рис. 1.1 Организационная структура компании NetByNet
Директор NetByNet осуществляет общее руководство, координирует
работу компании.
Бухгалтерский отдел ведет бухгалтерский учет, предоставляет данные по
оплате услуг и формирует данные по доходам и расходам, осуществляет
начисление заработной платы сотрудникам службы технической поддержки.
14
Отдел по работе с клиентами отвечает за обработку поступающих заказов,
оформление договоров о предоставлении услуг, поиску новых клиентов и
предоставляет отчеты по информации, запрашиваемой руководством.
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Одним из этапов анализа рисков является идентификация всех объектов,
которые нуждаются в защите злоумышленников. Необходимо принимать во
внимание все факторы, что может быть нарушено при нарушении режимов
безопасности.
Ресурсы информации должны идентифицироваться как массивы и базы
данных, документы и массивы документов и так далее, учитывая выявленные
сведения об их использовании и владении [15].
Выделим характеристики применения:
в прикладных сервисах автоматизированных систем и
автоматизированных задачах функциональных подсистемах, решение которых
невозможно без информации из этих объектов информации;
в служебных подразделениях, автоматизированные задачи которых
решаются в их же интересах;
в удаленных объектах информации.
Уровень конфиденциальности – это основной характеристический
показатель ОИ.
Распределение информационных активов по категориям – это очень
нужное составляющее организации работы по соблюдению безопасности
информации предприятия, целями которого являются:
проектирование нормативно-методической составляющей для
разностороннего подхода к защите ресурсов автоматизированных систем
предприятия;