2
Оглавление
Введение ............................................................................................................................................................ 3
1. АНАЛИТИЧЕСКАЯ ЧАСТЬ. .................................................................................................................. 5
1.1. Технико-экономическая характеристика предметной области и предприятия. ............... 5
1.1.1. Характеристики предприятия и его деятельности. ......................................................... 5
1.1.2. Организационно-функциональная структура предприятия. ........................................ 7
1.2. Анализ рисков информационной безопасности. ...................................................................... 9
1.2.1. Идентификация и оценка информационных активов. ................................................... 9
1.2.2. Оценка уязвимости активов .............................................................................................. 12
1.2.3. Оценка угроз активам. ........................................................................................................ 14
1.2.4. Оценка существующих и планируемых средств защиты. ........................................... 17
1.2.5. Оценка рисков. ..................................................................................................................... 19
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты
информации на предприятии ................................................................................................................ 20
1.3.1. Выбор комплекса задач обеспечения информационной безопасности. ..................... 20
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты информации. . 27
1.4. Выбор защитных мер. ................................................................................................................. 29
1.4.1. Выбор организационных мер. ............................................................................................ 29
1.4.2. Выбор инженерно-технических мер. ................................................................................ 35
2. ПРОЕКТНАЯ ЧАСТЬ. ........................................................................................................................ 47
2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты
информации предприятия. ..................................................................................................................... 47
2.1.1. Отечественная и международная нормативно-правовая основа создания системы
обеспечения информационной безопасности и защиты информации предприятия. ............. 47
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия. ..................................... 58
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия. ......................................... 68
2.2.1. Структура программно-аппаратного комплекса информационной безопасности и
защиты информации предприятия. .................................................................................................. 68
2.2.2. Контрольный пример реализации проекта и его описание. ........................................ 72
3. ОБОСНОВАНИЕ ЭКОНОМИЧЕСКОЙ ЭФФЕКТИВНОСТИ ПРОЕКТА ............................. 88
3.1. Выбор и обоснование методики расчёта экономической эффективности ........................ 88
3.2. Расчёт показателей экономической эффективности проекта ............................................. 90
ЗАКЛЮЧЕНИЕ ............................................................................................................................................ 95
СПИСОК ЛИТЕРАТУРЫ .......................................................................................................................... 97
3
Введение
Актуальность работы. В современных условиях Интернет представляет
собой не только неиссякаемый ресурс информации любого характера, но и
ключевой источник вирусного заражения компьютерных устройств. Процесс
развития технология сопровождается совершенствованием методов и средств
атак на расположенные удаленно устройства. Злоумышленники используют
зараженные компьютеры самыми разными способами - начиная от того, что
крадут ресурсы машин, и заканчивая тем, что вымогают денежные средства. В
этой связи знание базовых правил защиты информации в современных услвоиях
является весьма актуальным.
Безопасность в сети Интернет предполагает необходимость принятия мер
по защите от компьютерных вирусов, краж и попыток нарушить целостность
личных и корпоративных данных. Средства, обеспечивающие безопасность в
Интернет, необходимы как для крупных компаний, убытки которых при
заражении компютерной техники могут быть невосполнимыми, но и для
обычных пользователей Интернета. В этой связи необходимо внедрение и
развитие общественной грамотности в сфере защиты информации.
В настоящее время компьютерные сети начинают занимать ключевые
позиции в информационных технологиях, и, как следствие, во всех сферах
современного общества. В локальных вычислительных сетях циркулирует
значительное количество информации, не относящейся к категории
государственной тайны, однако являющейся конфиденциальной. Проблема
предотвращения утечки информации очень актуальна на сегодняшний день.
Одной из основных целей обеспечения информационной безопасности
локальных вычислительных сетей является необходимость предотвращения
угрозы утечки информации при проведении атак на объекты защиты и
преднамеренного ущерба из-за нарушения конфиденциальности, целостности,
достоверности, подконтрольности и доступности защищаемой информации.
Чтобы создать эффективную систему защиты, нужно определиться с
возможными угрозами информации и каналами ее утечки.
4
Цель ВКР – Программные средства защиты информации в сетях.
Задачи:
- рассмотреть теоретические аспекты средств защиты информации в сетях;
- провести анализ применения программных средств защиты информации
в сетях на примере ФБУ «Тульский ЦСМ»;
- предложить совершенствование средств защиты информации в сетях.
Структура работы состоит из введения, трех глав, заключения, списка
литературы.
Объектом исследования является ФБУ «Тульский ЦСМ»;
Предметом исследования является защита информации внутри
корпоративной сети ФБУ «Тульский ЦСМ»
5
1. АНАЛИТИЧЕСКАЯ ЧАСТЬ.
1.1. Технико-экономическая характеристика предметной области и
предприятия.
1.1.1. Характеристики предприятия и его деятельности.
Тульский центр стандартизации, метрологии и испытаний осуществляет
полномочия Федерального агентства по техническому регулированию и
метрологии в Тульской области в сфере технического регулирования и
метрологии, включая стандартизацию, обеспечение единства измерений, оценку
соответствия, испытания и регистрацию в пределах компетенции, определённой
Уставом.
Стандартизацию, метрологию и сертификацию следует рассматривать в
качестве инструментов, позволяющих обеспечивать качество таких объектов,
как продукция, работы и услуги, что имеет важное значение в хозяйственной
деятельности предприятий. В современных условиях неоспоримым является то,
что успешное ведение бизнеса зависит от качественных характеристик
производимой продукции и оказываемых услуг. В этой связи стандартизацию,
метрологию и сертификацию как ключевые методы обеспечения качества
следует рассматривать как значимое условие при выходе компании на рынок с
конкурентоспособным товаром (услугой), и, соответственно, как условие
коммерческого успеха.
Соблюдение правил метрологии в различных сферах народно-
хозяйственной деятельности позволяет свести к минимуму материальные потери
от недостоверных результатов измерений.
Центру удалось сохранить количество поверяемых средств измерений, что
обусловлено комплексом мер. Это, прежде всего, обучение и переподготовка
кадров.
Большое внимание уделяется состоянию эталонной базы центра. В центре
разработан и претворяется в жизнь 3-летний план перспективного развития,
включающий также приобретение оборудования взамен физически изношенного
и морально устаревшего.
6
Приобретение поверочного оборудования позволяет освоить новые виды
поверок, расширить область аккредитации. Ежегодно центром осваивается 10-15
новых видов поверок. Эталонная база центра позволяет практически
обеспечивать потребности Тульской области в поверке и калибровке.
В числе нового приобретённого оборудования: установка "Стиль Б-7" (
для поверки люксметров и яркомеров); переносные установки для поверки
водосчетчиков без их демонтажа, комплект ПЗУ для поверки миографов и
электроэнцефалографов, установка УПОП-Е01М (для поверки
пульсоксиметров), атомно-абсорбционный спетрофотометр и д.р. Кроме того,
для лаборатории по исследованию качества нефтепродуктов приобретены:
установка для определения цетановых чисел дизельных топлив, аппарат ТЛ-1
для определения коксуемости нефтепродуктов, аппарат ПАФ для определения
предельной температуры фильтруемости дизельного топлива. Это позволяет
расширить область аккредитации испытательной лаборатории центра.
Еженедельно отслеживается окупаемость приобретенного оборудования.
ФБУ "Тульский ЦСМ" (далее Центр) ежегодно поверяет около 250 тысяч единиц
средств измерений для всех отраслей народного хозяйства Тульской области.
Нередко в центр обращаются за поверкой и другие регионы, разной степени
удалённости от Тульской области.
Для этого Центр располагает солидной технической базой: имеется в
наличии более 1600 единиц эталонного оборудования (при общем количестве
средств поверки около 4,5 тысяч единиц). Объём средств измерений вывозимых
на поверку из нашей области в другие регионы составляет менее 1%.
Таблица 1. Общий доход и численность
№
п/п
Наименование характеристики
(показателя)
Значение показателя на 1
января 2017
1.
Общий доход
256 574 536,14 руб.
2.
Численность персонала
227 чел.
Центром развиваются новые направления работ, востребованные
заказчиком. В своей деятельности центр руководствуется принципом
максимального удовлетворения запросов клиента.
7
1.1.2. Организационно-функциональная структура предприятия.
Рисунок 1. Организационная структура ФБУ «Тульский ЦСМ»
ФБУ «Тульский ЦСМ в своей деятельности руководствуется Уставом. На
Рисунке 1 представлена организационная структура Центра.
Директор Центра единолично осуществляет руководство деятельностью
Центра в соответствии с законодательством Российской Федерации, организует
работу в соответствии с целями и видами деятельности Центра. Директор
назначается приказом Федерального агентства по техническому регулированию
и метрологии в установленном порядке.
Аппарат управления Центра построен таким образом, чтобы обеспечить
наивысшую продуктивность в научно-технических, экономических и
организационных вопросах, взаимосвязанное единство всех подразделений, а
также наилучшее использование трудовых и материальных ресурсов.
Директор
Отделы
поверки
средств
измерений
Бюро
приемки
Сектор
стандартизации
и
информационног
о обеспечения
Планово-
экономический
отдел
Хозяйственна
я группа
Сектор
маркетинга и
государственных
закупок
Юрисконсульт
Сектор АСУ
Заместитель
директора
по общим
вопросам
Заместитель
директора
по
техническому
регулировани
ю
и метрологии
Отдел
бухгалтерии
Отдел кадров
Главный
метролог
Отдел
метрологии
8
В соответствии со структурой управления Центра верхний уровень
управления представлен: Директор; два заместителя директора: один – по общим
вопросам; второй – по техническому регулированию и метрологии; главный
бухгалтер; юрисконсультант; ведущий специалист по кадрам.
Генеральному директору непосредственно подчиняются все заместители и
начальники поверочных подразделений.
Директор организует всю работу Центра и несет полную ответственность
за его состояние и деятельность. Директор представляет Центр во всех
учреждениях и организациях, распоряжается имуществом, заключает договора,
издает приказы по объединению в соответствии с установленными
полномочиями.
Зам. директора по техническому регулированию и метрологии решает
вопросы связанные с работами по проведению межлабораторных испытаний,
поверки эталонов Центра, аттестации поверителей. Руководит подготовкой
проектов и плановых заданий по внедрению новой измерительной техники,
совершенствованию метрологического обеспечения, средств и методов
измерений, контроля и испытаний.
Зам. директора по общим вопросам организует работы касающиеся
ремонтно-строительных мероприятий и вопросов касающихся условий работы
сотрудников Центра.
Юрисконсультант непосредственно подчиняется директору. В его работу
входит юридическое оформление документации, консультирование служб и
подразделений, представление Центра в арбитражном и гражданском судах.
Отдел бухгалтерии осуществляет учет средств и хозяйственных операций
с материальными и денежными ресурсами, устанавливает результаты
финансово-хозяйственной деятельности.
Главный метролог обеспечивает составление локальных поверочных схем,
установление оптимальной периодичности и разработку календарных графиков
поверки средств измерений; контролирует разработку новых методик
измерений, калибровки и измерительного контроля. Руководит отделом
9
метрологии, осуществляющим контроль за метрологическим обеспечением
Центра.
Сектор стандартизации и информационного обеспечения следит за
актуализацией, обновлением и выводом из обращения нормативной
документации.
Отделы поверки средств измерений непосредственно занимаются
работами по поверке, калибровке, ремонту и другими работами, связанными с
соблюдением заказчиком федерального закона № 102-ФЗ "Об обеспечении
единства измерений".
Планово-экономический отдел отвечает за передачу данных в
Федеральный информационный фонд по обеспечению единства измерений;
экономическое планирование в Центре; комплексный экономический анализ
деятельности порганизации и расчет мероприятий по ускорению темпов роста
производительности труда.
Хозяйственная группа выполняет работы по ремонту и благоустройству
помещений и территории Центра.
Сектор маркетинга и государственных закупок представляет Центр при
участии в тендерных торгах; занимается вопросами поставки нового
оборудования, заключением договоров на предоставление Центром услуг,
связанных с метрологическим обеспечением сторонних организаций.
В работу бюро приемки входит непосредственный прием заявок от
клиентов на выполнение работ, связанных с обеспечением единства измерений.
Сектор АСУ занимается обслуживанием внутренней сети Центра, офисной
техники; проводит работы по обеспечению защиты информации от воздействия
внешних угроз.
1.2. Анализ рисков информационной безопасности.
1.2.1. Идентификация и оценка информационных активов.
Активы организации: Все, что имеет ценность для организации в
интересах достижения целей деятельности и находится в ее распоряжении.
В число активов могут входить информационные активы, в т.ч. информация
10
различных видов, которая циркулирует в рамках информационный системы
(информация, являющаяся служебной, управляющей, аналитической, деловой и
др.) на каждом из этапов жизненного цикла (на этапах генерации, хранения,
обработки, передачи, уничтожения) [2]
Из этого следует, что информационные активы – это любая информация,
находящаяся в распоряжении организации и имеющая ценность для достижения
тех или иных целей.
Рассмотрим информационные активы ФБУ «Тульский ЦСМ». Для
удобства рассмотрения разделим активы на группы.
1. Информация/данные.
- Контракты с клиентами;
- Персональные данные сотрудников;
- Данные по оказанным услугам.
- Данные переписок с предприятиями
- Бухгалтерская отчетность
2. Аппаратные средства.
- 3 сервера;
- 128 компьютеров;
- 96 принтеров;
- 15 МФУ.
- 1 сканер
3. Программное обеспечение.
- MS Office;
- 1C: Предприятие;
- MS Windows 7/8
- АИС «Метрконтроль»
Ниже представлены информационные активы, в отношении которых
законодательство РФ устанавливает требование об обязательном ограничении
доступа.
Данный перечень представлен в таблице 2.
Таблица 2. Сведения, имеющие конфиденциальный характер
№
п/п
Наименование
сведений
Уровень
секретности
Нормативный документ
1.
Сведения по
контрактам с
клиентами
Коммерческая
тайна
ФЗ от 29.07.2004 № 98-ФЗ «О
коммерческой тайне»
11
2.
Сведения по
оказанным услугам
Коммерческая
тайна
3.
Данные переписок с
предприятиями
Коммерческая
тайна
4.
Персональные данные
сотрудников
Персональные
данные
ФЗ от 27 июля 2006 года «О
персональных данных» (№ 152-
ФЗ)
Проведем ранжировку активов. (таблица 3).
Таблица 3. Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
Контракты с клиентами
4
Данные по оказанным услугам
3
Сервера
5
Персональные данные сотрудников
5
Бухгалтерская отчетность
5
1С: Предприятие
5
Компьютеры
5
Устройства ввода-вывода
3
ПО Microsoft
2
Данные переписок с предприятиями
1
АИС "Метрконтроль"
4
Контракты с клиентами
5
Данные по оказанным услугам
5
Сервера
5
После ранжирования можно выделить наиболее ценные активы:
- Данные по оказанным услугам.
- Сервера;
- Компьютеры;
- Персональные данные сотрудников;
- 1C: Предприятие;
- Контракты с клиентами;
- Бухгалтерская отчетность