55
Таблица 4
Оценки рисков комплексной защиты информации ГКУ «Московский центр
недвижимости»
№
пок.
Наименование ре показателя
Обязательно
сть ре (да/нет)
Коэффициен
т ре значимости
1
Существует ли политика по расследованию
инцидентов нарушения ре ИБ?
да
0,07
2
Сколько раз в год пересматривается политика
расследования инцидентов?
да
0,03
3
Проинформированы ли сотрудники о том, что
делать в случае инцидента?
нет
0,04
4
Существует ли на предприятии отдел, группа
лиц или лицо, которое отвечает за все процессы
по обнаружению и реагированию на инциденты
ИБ?
да
0,05
5
Предусмотрена ре ли классификация ре инцидентов
по ре категории критичности?
да
0,03
6
Происходит ли обучение персонала после
инцидента, для повышения его
осведомленности в части ИБ?
да
0,03
7
Существует ре ли отчетность ре после расследования
ре инцидента?
да
0,05
8
Определены ре ли мероприятия ре по сохранности
ре данных, потенциально ре имеющих отношение ре к
инциденту?
нет
0,04
9
Уведомляются ре ли руководство ре организации,
подразделения ре комплексной защиты
ре информации организации ре и иные
ре заинтересованные организаций ре о факте
ре инцидента?
да
0,04
10
Уведомляются ре ли клиенты ре организацииоре факте
инцидента?
нет
0,04
11
Определён потенциальный ущерб в случае
нарушения целостности ре критической
информации?
да
0,06
12
Существует ли методика анализа текущих
контролей за рискам?
да
0,04
13
Существует ли группа лиц в обязанности,
которых входит рассмотрение и обработка
рисков?
да
0,07
14
Определен ре ли тот ре приоритет риска, ре при
которомре он может ре быть сохранен?
нет
0,06
15
Существует ре ли страхование ре активов
организации ре в случаи ре больших рисков?
нет
0,06
56
Продолжение таблицы 4
№
пок.
Наименование ре показателя
Обязательно
сть ре (да/нет)
Коэффициен
т ре значимости
16
Определен ли в документах организации план
определяющий способы обработки рисков ИБ?
да
0,06
17
Определены ли сроки реализации и внедрения
организационных, технических и иных
защитных мер в политике ИБ?
да
0,07
18
Существует ли группа лиц, или лицо, которое
отвечает за разработку и выполнение планов
обработки рисков нарушения ИБ?
да
0,07
19
Утверждены ре ли планы ре обработки рисков ре у
руководства ре отдела ИБ ре и у ре руководства
предприятия?
нет
0,07
На основании полученных коэффициентов значимости, выставленных
экспертами ГКУ «Московский центр недвижимости», выполним анализ рисков:
- большая часть вопросов имеют одинаковый приоритет, у них
коэффициент не изменился и остался 0,05, или увеличился до 0,06;
- наибольшим приоритетом в обеспечении комплексной защиты
информации имеют коэффициенты значимости, имеющие значение больше
0,05.
На следующем этапе были разработаны рекомендуемые критерии
выставления частных оценок экспертами ИБ ГКУ «Московский центр
недвижимости», приведенные в таблице 5.
Таблица 5
Рекомендуемые критерии выставления оценок частных показателей ИБ ГКУ
«Московский центр недвижимости»
Оценка
ре частного
показателя ре ИБ
Критерий ре выставления оценки ре частного показателя ре ИБ
0
Требования частного показателя ИБ не установлены во внутренних
нормативных документах проверяемой организации и не выполняются
0
Требования частного показателя ИБ частично установлены в
нормативных документах проверяемой организации, но не
выполняются
0,25
Требования частного показателя ИБ полностью установлены в
нормативных документах проверяемой организации, но не
выполняются
57
Продолжение таблицы 5
Оценка
ре частного
показателя ре ИБ
Критерий ре выставления оценки ре частного показателя ре ИБ
0,25
Требования частного показателя ИБ не установлены во внутренних
нормативных документах проверяемой организации и выполняются в
неполном объеме
0,25
Требования частного показателя ИБ частично установлены во
внутренних нормативных документах проверяемой организации и
выполняются в неполном объеме
0,5
Требования частного показателя ИБ полностью установлены во
внутренних нормативных документах проверяемой организации и
выполняются в неполном объеме
0,5
Требования частного показателя ИБ не установлены во внутренних
нормативных документах проверяемой организации, но выполняются в
полном объеме
0,75
Требования частного показателя ИБ частично установлены во
внутренних нормативных документах проверяемой организации, но
выполняются в полном объеме
1
Требования частного показателя ИБ полностью установлены во
внутренних нормативных документах проверяемой организации и
выполняются в полном объеме
На основании рекомендуемых критериев выставления оценок частных
показателей ГКУ «Московский центр недвижимости» на основании экспертной
оценки выполним оценку частных показателей комплексной защиты
информации с помощью таблицы 6.
Таблица 6
Оценки рисков нарушения ИБ ГКУ «Московский центр недвижимости» по частным
критериям
№
по
к
Частный показатель ИБ
Оценка частного
показателя ИБ
0
0,25
0,5
0,75
1
1
Существует ли политика по расследованию
инцидентов нарушения ИБ?
1
2
Сколько раз в год пересматривается политика
расследования инцидентов?
1
3
Проинформированы ли сотрудники о том, что
делать в случае инцидента?
1
4
Существует ли на предприятии отдел, группа лиц,
или лицо, которое отвечает за все процессы по
обнаружению и реагированию на инциденты ИБ?
1
5
Предусмотрена ли классификация инцидентов по
категории критичности?
1
58
Продолжение таблицы 6
№
по
к
Частный показатель ИБ
Оценка частного
показателя ИБ
0
0,25
0,5
0,75
1
6
Происходит ли обучение персонала после
инцидента, для повышения его осведомленности в
части ИБ?
1
7
Существует ли отчетность после расследования
инцидента?
1
8
Определены ли мероприятия по сохранности
данных, потенциально имеющих отношение к
инциденту?
1
9
Уведомляются ли руководство организации,
подразделения комплексной защиты информации
организации?
1
10
Уведомляются ли клиенты организации о факте
инцидента?
1
11
Определён потенциальный ущерб в случае
нарушения целостности критической информации?
1
12
Существует ли методика анализа текущих
контролей за рискам?
1
13
Существует ли группа лиц в обязанности, которых
входит рассмотрение и обработка рисков?
1
14
Определен ли тот приоритет риска, при котором он
может быть сохранен?
1
15
Существует ли страхование активов организации в
случаи больших рисков?
1
16
Определен ли в документах организации план
определяющий способы обработки рисков ИБ?
1
17
Определены ли сроки реализации и внедрения
организационных, технических и иных защитных
мер в политике ИБ?
1
На основании выполненной частной оценки рисков комплексной
защиты информации ГКУ «Московский центр недвижимости» можно сделать
следующие выводы:
- политика по распределению инцидентов нарушения комплексной
защиты информации ведется на установлении внутренних нормативных
документов и в полном объеме;
- уровень обновления политики безопасности средний и выполняется не
в полном объеме, что связано с масштабами деятельности предприятия и
системой распределения информационных потоков;
59
- в ГКУ «Московский центр недвижимости» существует подразделение
осуществляющие контроль и управление комплексной защитой информации
данных;
- после возникновения угроз безопасности с сотрудниками ГКУ
«Московский центр недвижимости» проводятся инструктажи и обучение,
однако только на внутреннем локальном уровне департаментом комплексной
защиты информации;
- на предприятии используется отчетность, отражающая расследование
инцидента;
- в ГКУ «Московский центр недвижимости» определяется
потенциальный ущерб в случае нарушения целостности критической
информации по рекомендациям электронного правительства;
- на уровне организации комплексной защиты информации существуют
лица, отвечающие за устранение рисков комплексной защиты информации;
- на предприятии проводятся организационные, технические и прочие
меры защиты информации с использованием современных технологий, однако
масштабы деятельности предприятия постоянно развиваются;
- в организации комплексной защиты информации на предприятии
ведется постоянный контроль их обновления.
60
ГЛАВА 3. РЕКОМЕНДАЦИИ ПО ПОВЫШЕНИЮ СТЕПЕНИ
ЗАЩИЩЕННОСТИ ОРГАНИЗАЦИИ ОТ РАССМАТРИВАЕМЫХ
УГРОЗ
3.1. Разработка модели противодействия угрозам информационной
безопасности со стороны собственного персонала
Обобщим основные проблемы экономической безопасности
рассмотренного объекта исследования:
1.Высокая конкуренция.
2.Финансовый шпионаж.
3.Финансовый саботаж.
4.Риск взлома и хакерских действий в отношении информационной сети.
5.Проблема обеспечения кадровой безопасности организации как
наименее разработанной подструктуры.
Таким образом, должен быть продуман и разработан комплекс
профилактических мер, которые должны включать в себя:
1. разработку, введение и поддержание в компании различных
режимов безопасности: физической безопасности и охраны объектов,
информационной безопасности, социально-психологической безопасности в
коллективе, коммуникационной безопасности и противодействию возможной
разведывательной деятельности конкурентов и т.п.
2. четкую регламентацию и организацию всех процессов,
привлекательных для совершения противоправных действий, в том числе с
помощью корпоративного кодекса, инструкций по обеспечению
конфиденциальности и сохранению коммерческой тайны, четких должностных
инструкций каждого сотрудника, а также осуществления строгого контроля за
их выполнением (документального, визуального, с помощью видеокамер и
т.п.).
3. справедливую материальную и моральную оценку результатов
труда сотрудников, их компетентности и лояльности, позволяющую создать
здоровый морально-психологический и этический климат в коллективе
61
4. профилактическую роль играют любые методы мониторинга и
контроля поведения сотрудников, уровня жизни, контактов (прежде всего
рабочих - с клиентами, поставщиками), использования рабочего времени,
ресурсов компании, предоставляемой бухгалтерской и финансовой отчетности
и т.п.
В целях улучшения экономической безопасности организации разумно
осуществлять мониторинг состояния и совершенствования предприятия.
Основными задачами мониторинга являются:
-анализ состояния и динамики развития производства предприятия
-выявление негативных тенденций и процессов совершенствования
предприятия
-определение оснований и возможных источников рисков, угрожающих
совокупному развитию предприятия
-прогнозирование причин действия неблагонадежных факторов как на
потенциал предприятия, так и на другие сферы деятельности.
В настоящее время совершенствование IT инфраструктуры бизнеса
является одним из основных факторов достижения цели для любого
экономического субъекта.
Поэтому с целью совершенствования валютных технологий в
организации предлагается использование этой технологии. Технология Hadoop
представляет собой программный продукт, позволяющий хранить и
обрабатывать данные с помощью компьютерных кластеров.
Решения, построенные на базе новой технологии, обладают рядом
существенных преимуществ:
1. При обработке данных на кластере можно существенно сократить
время на обработку данных.
2. Применение новой технологии позволяет сократить затраты на
оборудование, требуемое для хранения и обработки данных, в десятки раз.
3. Технология позволяет построить отказоустойчивое решение.
62
4. Выход из строя одного или нескольких узлов кластера влияет
только на производительность системы, при этом система продолжает
корректно работать и предоставлять сервис конечным пользователям.
5. Решение позволяет наращивать производительность просто за счет
добавления новых узлов кластера. При этом производительность кластера
возрастает линейно.
6. Технология позволяет осуществлять сложную обработку любых
файлов, в том числе неструктурированных, благодаря чему такие данные могут
быть эффективно обработаны и использованы.
На основе проведенного анализа в теоретической части работы и
проведенного анализа обеспечения безопасности организации во второй главе
работы, нами в данной части работы будут рассмотрены направления по
укреплению кадровой безопасности как части экономической безопасности
организации (именно данная подсистема экономической безопасности является
наименее эффективной в рассматриваемой организации).
Был выявлен ряд проблем – неэффективная система подбора персонала,
отсутствие системы адаптации, незначительные возможности для карьерного
роста и развития персонала.
Это важнейшие подсистемы управления персоналом, которые прямо
влияют на кадровую безопасность организации, так как позволяют обеспечить
организацию квалифицированным и преданным персоналом.
Представим ряд направлений:
1. Требует совершенствования процесс «Управление персоналом» в
целом для повышения его эффективности.
2. Требует повышения профессионализм и компетентность
сотрудников.
3. Система оценки принимаемых и уже работающих сотрудников.
4. Обучение сотрудников.
5. Развитие организационной культуры компании и сплоченности
коллектива посредством разработки и проведения корпоративных мероприятий.
63
6. Управление результативностью персонала на основе KPI.
С точки зрения проблемы обеспечения кадровой безопасности
организации требует совершенствования сам процесс управления персоналом
организации.
Для решения поставленных задач процесс «Управление персоналом»
был исследован научным методом «Идентификация процесса».
Идентификация процесса «Управление персоналом» «как есть»
представлена на рисунке в Приложении 1.
На основании проведенной идентификации автором была составлена
контекстная диаграмма, на которой изображены входы и выходы процесса, а
также управляющие механизмы и ресурсы, необходимые для эффективного
осуществления процесса.
Контекстная диаграмма существующего процесса «Управление
персоналом» в организации представлена на рисунке 13.
Найм, прием
Отбор, повышение
Финансовые выплаты Персонал Инфраструктура
Рисунок 14 - Контекстная диаграмма существующего процесса «Управление
персоналом»
Управление
персоналом
НТД в
управлении
Сборники тарифно-
квалификационные
Положения
Приказы о присвоении
квалификации и разряда
Мотивация
64
Для наглядного представления составлена блок-схема процесса
«Управления персоналом».
Рисунок 15 - Блок-схема процесса «Управления персоналом»
Приоритетные направления работы служб управления персоналом
заключаются в следующем:
- обеспечение соответствия уровня квалификации требованиям
современной экономики, где базовые навыки и знания требуют непрерывного
обновления;
- контролирование роста издержек на рабочую силу;
- определение политики многонациональных корпораций в области
сочетания найма дешевой рабочей силы зарубежных стран и населения
собственных стран;
Начало
Планирование персонала
Подборка персонала
Оценка персонала
Обучение и развитие персонала
Организация системы
вознаграждения и социального
развития
Обучение и развитие персонала
Конец