6
Содержание
Введение .......................................................................................................................... 8
I. Аналитическая часть ................................................................................................. 11
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения).............................................. 11
1.1.1. Общая характеристика предметной области ............................................ 11
1.1.2. Организационно-функциональная структура предприятия ................... 12
1.2. Анализ рисков информационной безопасности ............................................. 15
1.2.1 Идентификация и оценка информационных активов............................... 15
1.2.2. Оценка уязвимостей активов ..................................................................... 20
1.2.3. Оценка угроз активам ................................................................................. 21
1.2.4. Оценка существующих и планируемых средств защиты ....................... 24
1.2.5. Оценка рисков ............................................................................................. 25
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ..................................................................... 32
1.3.1. Выбор комплекса задач обеспечения информационной безопасности . 32
1.3.2. Определение места проектируемого комплекса задач в комплексе
задач предприятия, детализация задач информационной безопасности и
защиты информации ............................................................................................. 35
1.4. Выбор защитных мер ......................................................................................... 37
1.4.1. Выбор организационных мер ..................................................................... 37
1.4.2. Выбор инженерно-технических мер ......................................................... 40
II Проектная часть ........................................................................................................ 48
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия ............................................... 48
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия .................................................................................... 48
7
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия .............................................................................................................. 52
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ................... 59
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия .............................................. 59
2.2.2. Контрольный пример реализации проекта и его описание ....................... 62
III Обоснование экономической эффективности проекта ........................................... 66
3.1 Выбор и обоснование методики расчёта экономической эффективности ...... 66
3.2. Расчёт показателей экономической эффективности проекта ........................... 68
Заключение ....................................................................................................................... 71
Список используемой литературы ................................................................................. 73
Приложение 1 ................................................................................................................... 76
Приложение 2 ................................................................................................................... 77
8
Введение
Проблема текущего состояния информационной безопасности сети
коммерческих организаций и защита от технических угроз является актуальной
темой в настоящее время, так как коммерческая деятельность всегда связана с
риском утечки конфиденциальной информации по сети, наличием внутренних и
внешних угроз.
Для эффективной работы руководство предприятия должно позаботится о
том, чтобы обеспечить высокий уровень ее информационной безопасности, так
как в случае возникновения отдельных сбоев в работе компании может
развиться системный кризис платежной системы и нанесен непоправимый
ущерб как самой компании, так и ее клиентам, в случае разглашения
персональных данных.
В качестве одного из важных этапов, связанных с разработкой политики
информационной безопасности компании можно выделить необходимость
проведения периодической оценки рисков по нарушению информационной
безопасности. В качестве особенности проведения оценки рисков
информационной безопасности можно выделить недостаточность
статистической информации, необходимость в проведении экспертных оценок,
наличие различных неопределенностей, которые вызваны постоянно
меняющимися условиями функционирования бизнес-процессов.
Для обеспечения информационной безопасности объекта информатизации
необходимо комплексно подходить к ее созданию и использовать все основные
методы – законодательные, организационные, аппаратно-программные,
технические и финансовые.
При использовании организационной защиты информации
разрабатываются необходимые инструкции, а так же руководством компании
принимаются своевременные и верные управленческие решения.
При использовании аппаратно-программной защиты информации на
компьютерную технику, используемую на предприятии устанавливаются и
используются различные программные средства, позволяющие обеспечить
защиту от атак и попыток несанкционированного доступа к содержащейся в них
9
конфиденциальной информации.
При использовании технической защиты информации используются
механические, электромеханические, электронные, оптические, лазерные, радио-
и радиотехнические, радиолокационные и другие устройства, системы и
сооружения, которые необходимы для того чтобы обеспечить надлежащую
безопасность и защиту информации.
Для обеспечения информационной безопасности сети предприятия
рекомендуется использование как аппаратных, так и технических средств
защиты.
Противодействие угрозам информационной безопасности сети является
системным процессом, при помощи которого получаются объективные оценки
текущего состояния его информационной безопасности в соответствии с
определенными критериями информационной безопасности, такими как
обследование различных сред функционирования ИТС, тестирование ее на
уязвимости, анализ и оценка защищенности, формирование отчета и разработка
соответствующих методов.
Актуальность оценивания информационной безопасности состоит в
определении характеристик рисков корпоративной информационной системы
коммерческого предприятия и ее ресурсов.
После оценки состояния информационной безопасности можно выбрать
средства, обеспечивающие желаемый уровень информационной безопасности.
При оценивании информационной безопасности учитываются такие факторы,
как ценность ресурсов, значимость угроз и уязвимостей, эффективность
имеющихся и планируемых средств защиты.
Значимость оценки информационной безопасности коммерческой
организации состоит в том, что проведение данных работ позволяет качественно
поднять уровень защищенности его информационно-телекоммуникационной
системы.
Объектом исследования является АО «СвязьСнаб».
Предмет исследования – информационная безопасность объекта
информатизации коммерческой организации.
Целью ВКР является разработка и реализация метода криптозащиты
10
потоков цифровых данных на примере филиала АО «СвязьСнаб».
Для достижения поставленной цели в работе необходимо решить
следующие задачи:
1. Описать объект исследования.
2. Провести оценку состояния информационной безопасности на
рассматриваемом объекте.
3. Провести анализ существующих современных методов и аппаратно-
программных средств защиты.
4. Разработать комплекс мероприятий и технических решений по
реализации метода криптозащиты потоков цифровых данных в коммерческой
организации АО «СвязьСнаб».
5. Обосновать экономическую эффективность проекта.
Результатом выпускной работы является разработка методов и
технических решений, обеспечивающих максимальную информационную
безопасность.
Базовыми источниками при написании работы являются труды ученых в
области ИБ - В. Андреева, Т.А. Биячуева, Л.Г.Осовецкого, Ю.Н. Загинайлова, С.
Кораблева, О. Лукоева, Т.И. Маркова, К.В. Захарова, П.В. Плетнева, В.М.
Белова, а также нормативные акты РФ – ГК РФ, ФЗ №98, ФЗ №52.
Для достижения поставленной цели и задач определена следующая
структура исследования: работа состоит из введения, трех глав, заключения,
списка использованной литературы и приложений. Названия глав отображают
их содержание.
11
I. Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1. Общая характеристика предметной области
АО «СвязьСнаб» является филиалом универсального оператора связи на
российском рынке B2B. Компания с 2002 года предоставляет услуги связи по
всей РФ и является признанным экспертом в области оказания услуг телефонной
связи и передачи данных. За это время клиентами компании стали более 12 000
компаний. В их числе банки, издательские дома, медицинские центры и другие
предприятия крупного, среднего и малого бизнеса.
Исследуемое предприятие занимается предоставлением услуг как
местной, так и дальней телефонной связи, широкополосного доступа в сеть
Интернет, интерактивного телевидения, сотовой связи и других менее известных
услуг. АО «СвязьСнаб» участвует в различных мероприятиях, связанных с
государственными программами в области развития и применения
информационных технологий.
Помимо базовых услуг, таких как высокоскоростной интернет и
телефония, компания предлагает сложные телекоммуникационные решения
«под ключ». Индивидуальные продукты и качественный сервис - являются
основным направлением деятельности компании.
Гибкая система тарифов и инновационные продукты АО «СвязьСнаб»
оптимизируют бизнес-процессы партнеров и помогают сокращать лишние
расходы. Круглосуточная служба поддержки гарантирует оперативную помощь
специалистов в любой ситуации.
Основная миссия компании повышение эффективности компании клиента
за счет современных телекоммуникационных технологий. АО «СвязьСнаб»
стремится сделать работу клиентов более эффективной, содействует росту
бизнеса, предоставляя самые производительные и удобные средства связи [27].
Основные финансовые результаты деятельности компании АО
«СвязьСнаб» за 3 года представлены в таблице 1. Данные получены на
основании годовых отчетов компании.
12
Таблица 1
Основные финансовые результаты
Показатели
Фактическое значение
2016г.
2017г.
2018г.
Абсолютная
величина
(тыс. руб.)
Абсолютная
величина
(тыс. руб.)
Темп
роста,
%
Абсолютная
величина
(тыс. руб.)
Темп
роста,
%
Выручка
332435
325704
97,98
310917
95,46
Себестоимость
продаж
281882
279354
99,1
257959
92,34
Валовая прибыль
50553
46350
91,69
41910
90,42
Прибыль (убыток)
от продаж
46350
50553
109
57584
113,9
Прибыль (убыток)
до налогообложения
42503
32119
75,57
47754
148,6
Текущий налог на
прибыль
19
19
-
19
-
Чистая при
быль
(убыток) отчетного
периода
33202
24131
72,68
37807
156,6
Исходя из данных, представленных в таблице 2, можно сделать вывод о
динамике основных финансовых показателей компании. Выручка в 2018 году
снизилась относительно 2017 и 2016 годов. Но чистая прибыль компании, а
также прибыль от продаж в 2018 году увеличилась относительно предыдущих
периодов. Снижение данных показателей обосновывается проведенной
реструктуризацией компании, а также общерыночным снижением потребления
услуг фиксированной связи, связанным с развитием рынка мобильной связи и
услуг ШПД.
1.1.2. Организационно-функциональная структура предприятия
На рисунке 1 приведена организационная структура управления АО
«СвязьСнаб».
Рисунок 1 - Организационная структура управления АО «СвязьСнаб» [27]
Возглавляет АО «СвязьСнаб» директор, ему в свою очередь подчиняются
руководители отделов по направлениям. В обязанности директора входит
организация и управление имуществом, определение организационной
структуры предприятия и утверждение штатного расписания, поощрение и
наказание подчиненных работников а так же другие вопросы связанные с
управлением АО «СвязьСнаб».
Руководитель, исходя из принципа "кадры решают все", ведет работу по
удовлетворению требований и ожиданий персонала АО «СвязьСнаб», наделяет
перспективных, по его мнению, сотрудников дополнительными полномочиями
показывая при этом перспективу продвижения по службе.
По решению руководителя АО «СвязьСнаб» приоритет в продвижении по
службе отдается молодым и перспективным сотрудникам компании, которым
дается возможность проявить себя, показать свои умения в наибольшей степени,
тем самым привязывая специалистов к организации.
Подводя итог, можно сказать, что генеральный директор АО «СвязьСнаб»
осуществляет общее руководство компанией и решает ее стратегические
вопросы.
Охарактеризуем основные структурные подразделения АО «СвязьСнаб» -
отдел IT, бухгалтерия, отдел по работе с физическими лицами, отдел учета и
реализации услуг, отдел беспроводных технологий, отдел обслуживания
телекоммуникационной инфраструктуры, отдел интегрированных технических
решений.
Отдел по работе с физическими лицами осуществляет работу с клиентами,
консультируя их по имеющимся услугам. Специалисты отдела осуществляют
прием документов, оформляют договора.
Бухгалтерия АО «СвязьСнаб» готовит различные финансовые документы
– счета-фактуры, накладные на сторону, документы на запросы налоговых
органов и других организаций, а так же ведет учет заработной платы.
Бухгалтерия АО «СвязьСнаб» осуществляет учет текущих финансовых
операций, доходов и расходов компании, основных и оборотных средств
компании.
IT-отдел занимается поддержкой программного обеспечения,
15
установленного в компании, ремонтирует по возможности вышедшую из строя
компьютерную и оргтехнику, консультирует сотрудников компании по вопросам
работоспособности программного обеспечения. В составе IT-отдела находятся –
системный администратор, который координирует руководство отдела и
отвечает за безопасность и бесперебойную работу сети и компьютерной
техники, а так же выполняет функции администратора по безопасности отвечает
за безопасность данных, хранящихся в сети и на компьютерах пользователей,
устанавливает антивирусное ПО, разграничивает права пользователей и доступ к
общим ресурсам, находящимися в сети, а так же контролирует работу
пользователей в сети Интернет. В подчинении у него находятся – помощник
системного администратора и инженер по ремонту.
Отдел учета и реализации услуг отвечает за продажу предоставляемых
компанией услуг, следит за товарооборотом, делает заявки на склад той
продукции, которая необходима для подключения клиента к сети интернет или
телефонии.
Отдел беспроводных технологий отвечает за модернизацию и текущую
эксплуатацию оборудования связи (РРЛ, базовые станции, оконечное
абонентское оборудование), подключает клиентов по беспроводным
технологиям, настраивает активное беспроводное оборудование, размещает
новые узлы связи, осуществляет техническую поддержку пользователей, ведет
документацию по техническому учету используемого оборудования.
Отдел обслуживания телекоммуникационной инфраструктуры
обеспечивает надлежащим техническим и программным функционированием
телекоммуникационного оборудования. Планирует, проектирует, разрабатывает
и вводит в эксплуатацию телекоммуникационную инфраструктуру.
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
На предприятии АО «СвязьСнаб» корпоративную сеть можно
подразделить на открытую и закрытую. В первом случае компьютерная техника
персонала не работает с конфиденциальной информацией. Закрытая сеть