9
Введение ....................................................................................................................... 11
1. Аналитическая часть. .............................................................................................. 14
1.1. Технико-экономическая характеристика предметной области и предприятия.
....................................................................................................................................... 14
1.1.1. Общая характеристика предметной области .................................................. 14
1.1.2. Организационно-функциональная структура предприятия. ......................... 25
1.2. Анализ рисков информационной безопасности. ............................................... 28
1.2.1 Идентификация и оценка информационных активов. .................................... 28
1.2.2. Оценка уязвимостей активов. ........................................................................... 33
1.2.3. Оценка угроз активам. ...................................................................................... 38
1.2.4. Оценка существующих и планируемых средств защиты. ............................. 42
1.2.5. Оценка рисков. ................................................................................................... 48
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии. ...................................................................... 49
1.3.1. Выбор комплекса задач обеспечения информационной безопасности. ...... 49
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации. ................................................................................................................. 55
1.4. Выбор защитных мер. .......................................................................................... 56
1.4.1. Выбор организационных мер. .......................................................................... 56
1.4.2. Выбор инженерно-технических мер. ............................................................... 64
2. Проектная часть. ...................................................................................................... 68
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия. ................................................. 68
10
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия. ................................................................................................................ 68
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия. .................. 70
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия. .................. 74
2.2.1. Основные сведения о внедряемых программно-аппаратных средствах
обеспечения информационной безопасности. .......................................................... 74
2.2.2. Контрольный пример реализации проекта и его описание. .......................... 85
2.2.2.1. Общие положения. ......................................................................................... 86
2.2.2.2. Организация защиты сведений конфиденциального характера. ............... 89
2.2.2.3. Риски нарушения ИБ. ..................................................................................... 90
2.2.2.4. Общие требования по обеспечению ИБ ООО «АНС Групп». ................... 91
2.2.2.5. Контроль за соблюдением положений политики безопасности. ............... 92
2.2.2.6. Ответственность за соблюдение положений политики информационной
безопасности. ............................................................................................................... 93
3. Обоснование экономической эффективности проекта. ....................................... 94
3.1. Выбор и обоснование методики расчёта экономической эффективности. .... 94
3.2. Расчет показателей экономической эффективности. ...................................... 103
Заключение ................................................................................................................. 108
Список используемых источников .......................................................................... 111
Приложение 1 ............................................................................................................. 114
Приложение 2 ............................................................................................................. 115
11
Введение
В современном мире имеют место самые разнообразные способы
хищения информации: радиотехнические, акустические, программные и т.д.
[12]
Защита информационных ресурсов в системах обработки данных
обеспечивается различными методами и средствами, обеспечивающими
безопасность и целостность данных. Средства защиты переделяются степенью
подготовленности нарушителя. Кроме этого различают виды нарушений с
позиции нарушителя: умышленное и неумышленное нарушение [15].
Организация защиты информационных ресурсов требует использования
различных методов, среди которых: законодательный, технический,
организационный, программный, математический.
Так же популярны и эффективны различные программные методы,
которые значительно расширяют возможности систем безопасности
информационных ресурсов.
С целью получить объективные качественные и количественные оценки
о состоянии системы защиты информации компании и информационных
ресурсах в соответствии с некоторыми критериями оценки и показателями
безопасности проводят процедуру аудита информационной безопасности
компании.
Тема данной выпускной квалификационной работы - «Разработка
базовой политики безопасности в компании ООО «АНС Групп».
Данная тематика является актуальной, так как на данный момент
наблюдается рост различных информационных рисков, связанный с
появлением различных технических средств, увеличением компьютерной
грамотности населения, ростом числа ЭВМ, распространению доступа к
информационным ресурсам разнообразного характера и так далее.
Разработка политики безопасности дает возможность определить
наиболее эффективные мероприятия для предотвращения угроз безопасности
информационным ресурсам компании. Опираясь на политику безопасности,
легко производить корректировки понимания угроз безопасности
12
информации, оценки угроз и соответствующих действий. Кроме того,
политика безопасности дает возможность в целом усилить режим IT-
безопасности организации [11].
Цель исследования данной выпускной квалификационной работы -
разработка наиболее оптимальной базовой политики информационной
безопасности в компании ООО «АНС Групп».
Исходя из поставленной цели выпускной квалификационной работы, в
процессе ее написания необходимо разрешить следующие задачи:
- дать технико-экономическую характеристику предметной области и
предприятию;
- исследовать организационно-функциональную структуру
предприятия;
- произвести идентификацию и оценку информационных активов;
- произвести оценку уязвимостей, угроз и рисков активов компании;
- определить комплекс задач обеспечения информационной
безопасности;
- произвести выбор защитных мер;
- разработать комплекс организационных мер обеспечения
информационной безопасности и защиты информации предприятия;
- разработать комплекс программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия;
- обосновать экономическую эффективность работы.
Объект исследования – общество с ограниченной ответственностью
«АНС Групп».
Предмет исследования – поиск оптимальных путей в процессе
разработки базовой политики информационной безопасности компании ООО
«АНС Групп».
При написании выпускной квалификационной работы были применены
такие методы научного исследования, как изучение научной литературы по
теме исследования, нормативно-правовой базы, аналитический и
сравнительный методы. Среди теоретических методов, используемых при
разработке, отмечу анализ, применяемый к исследованию ООО «АНС Групп»
13
и метод классификации. Практические методы, используемые в работе –
наблюдение, сравнение, которые использовались, в частности, при оценке
экономической эффективности дипломного проекта.
14
1. Аналитическая часть.
1.1. Технико-экономическая характеристика предметной
области и предприятия.
1.1.1. Общая характеристика предметной области
Настоящая выпускная квалификационная работа выполнена на базе
предприятия - ООО «АНС Групп».
Более 10 лет исследуемая компания оказывает услуги по поставкам
электрооборудования и комплектующих. Интеллектуальная основа,
отраслевая специализация и богатый опыт успешной дистрибьюционной
деятельности позволяет компании располагать уникальными преимуществами
на рынке и предлагать компаниям, сотрудничающим с нами, самые
оптимальные решения. Партнерская сеть ООО «АНС Групп» насчитывает
более 1700 компаний по всей России.
ООО «АНС Групп» является динамично развивающейся структурой в
системе бизнеса по дистрибьюции электрооборудования и комплектующих, и
представляет собой современную конкурентоспособную компанию,
отвечающую всем требованиям нынешних тенденции в данной области.
Основными направлениями деятельности предприятия являются:
- закупка электрооборудования различного назначения поставщиков;
- складской учет материалов;
- работа с компаниями – покупателями оборудования.
Основная цель ООО «АНС Групп» - систематическое получение
прибыли и планомерное развитие компании. На основе изучения и анализа
деятельности объекта исследования построим дерево целей путем
декомпозиции основной цели предприятия на компоненты.
Дерево целей компании приведено ниже.
1. Дистрибьюция электрооборудования
1.1. Закупка электрооборудования
1.2. Реализация электрооборудования
1.3. Управление
1.3.1. Качеством
15
1.3.2. Финансами
1.3.2.1. Ведение бухгалтерского учета
1.3.2.2. Ведение складского учета
1.3.3. Маркетингом
1.3.4. Персоналом
1.3.5. Документооборотом
1.4. Обеспечения работы сайта предприятия
1.4.1. Создание сайта
1.4.2. Обеспечение его бесперебойной работы
1.4.3. Наполнение актуальной информацией
1.4.4. Модернизация сайта
1.5. Обеспечение функционирования ИС предприятия
1.5.1. Определение проблем функционирования ПО
1.5.2. Работа с заявками на изменения в прикладном ПО
1.5.3. Работа с аппаратным обеспечением АИС предприятия
1.6. Реклама услуг предприятия
1.6.1. Размещение рекламы в сети Интернет
1.6.2. Размещение рекламы в печатных изданиях
1.6.3. Размещение рекламы на рекламных щитах
1.6.4. Размещение рекламы на телевидении
1.7. Обеспечение безопасности
1.7.1. Обеспечение информационной безопасности
1.7.1.1. Разработка должностных инструкций ИБ
1.7.1.2. Инструктаж сотрудников организации
1.7.1.3. Проведение аудита ИБ
1.7.2. Обеспечение физической безопасности
1.7.3. Обеспечение охраны объектов
1.7.4. Установка систем наблюдения
1.7.5. Меры физической защиты (заборы, решетки на окна, двери,
замки и т.д.)
1.7.6. Обеспечение резервных источников электропитания
1.8. Юридическое обеспечение
16
1.8.1. Оформление договоров с заказчиками
1.8.2. Оформление договоров с поставщиками
1.8.3. Решение спорных ситуаций с поставщиками и заказчиками
1.8.4. Досудебное урегулирование споров
1.8.5. Анализ претензий и принятие мер по их устранению
1.8.6. Составление претензий
1.8.7. Представительство компании в суде
Информационная модель ООО «АНС Групп» представлена в
приложении 1.
Специалисты отделов работают с первичной информацией (договора от
клиентов, платежные документы, заявки на поставку электрооборудования).
По материалам поступившей первичной информации готовят отчеты для
начальников отделов, которые готовят консолидированную отчетную
информацию для генерального директора.
Информация, циркулирующая в системе компании, предоставляется и
обрабатывается в неавтоматизированной форме.
Перечень видов первичной информации, с которой работают
специалисты ООО «АНС Групп», представлен в таблице 1.
17
Таблица 1
Перечень видов первичной информации
Вид информации
Отдел
Носитель
Способ
Заявка на поставку
электрооборудования
Отдел
реализации
Журнал
заявок
Неавтоматизиро-
ванный
Заявки клиентов на
отгрузку
электрооборудования
Отдел
складского
учета
Складской
журнал
Неавтоматизиро-
ванный
Договор на поставку
электрооборудования
Отдел
бухучета
Номенклатура
дел
Неавтоматизиро-
ванный
Счета и счета-
фактуры
Отдел
снабжения
Номенклатура
дел
Неавтоматизиро-
ванный
Информация от
госорганов о приеме
отчетности
Отдел
снабжения
БД СБИС++
Автоматизиро-
ванный
Движение по
расчетному счету
Отдел
снабжения
Банк-Клиент
Автоматизиро-
ванный
Внешние связи организации:
1. В технологии поставок электрооборудования: с производственными
компаниями, оптовыми поставщиками.
2. В технологии реализации электрооборудования: с клиентами –
торговыми сетями, прочими организациями.
3. С государственными организациями: сдача бухгалтерской,
налоговой, статистической отчётности.
4. С другими организациями: в технологии обеспечения
функционирования организации.
Перечень внутренних связей приведен в таблице 2.
18
Таблица 2
Перечень внутренних связей компании
Источник
Тип информации
Потребитель
Заместитель директора
Запрос отчетности
Профильные отделы
Отдел реализации
Запрос наличия
продукции
Отдел складского
учета
Отдел бухгалтерского
учета
Запрос данных о
реализации продукции
Отдел реализации
Отдел бухгалтерского
учета
Запрос данных о
поставках
электрооборудования
Отдел снабжения
Отдел снабжения
Запрос данных о
состоянии склада
Отдел складского
учета
Проведем анализ бизнес-процессов технологии работы с заявками на
поставку товаров. Для этого будет использован программный комплекс
AllFusion Process Modeler (BPwin).
Контекстная диаграмма показана на рисунке 1.
Результатами бизнес-процессов являются отработанные заявки на
поставку товаров, разные виды отчетности.
В своей деятельности специалисты руководствуются
законодательством РФ, внутриорганизационными регламентами. Диаграмма
декомпозиции нулевого уровня приведена на рисунке 2. Как показано на
рисунке 2, основными подпроцессами в технологии контроля заявок на
поставку товаров являются:
- мониторинг поступления заявок;
- контроль распределения заявок;
- контроль исполнения заявок;
- отчетность по результатам анализа заявок.