1
Оглавление
Введение ..................................................................................................................... 3
1 Аналитическая часть ........................................................................................... 5
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения) ................................................ 5
1.1.1 Общая характеристика предметной области ........................................ 5
1.1.2 Организационно-функциональная структура предприятия ................. 6
1.2 Анализ рисков информационной безопасности .......................................... 7
1.2.1 Идентификация и оценка информационных активов ........................ 10
1.2.2 Оценка уязвимостей активов ............................................................... 21
1.2.3 Оценка угроз активам .......................................................................... 25
1.2.4 Оценка существующих и планируемых средств защиты .................. 28
1.2.5 Оценка рисков ...................................................................................... 34
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ..................................................................... 36
1.3.1 Выбор комплекса задач обеспечения информационной безопасности
36
1.3.2 Определение места проектируемого комплекса задач в комплексе
задач предприятия, детализация задач информационной безопасности и защиты
информации ............................................................................................................. 41
1.4 Выбор защитных мер.................................................................................. 47
1.4.1 Выбор организационных мер .............................................................. 47
1.4.2 Выбор инженерно-технических мер ................................................... 54
2 Проектная часть ................................................................................................ 65
2.1 Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия ................................................ 65
2.1.1 Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия ....................................................................................... 65
2.1.2 Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации предприятия
73
2.2 Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия .................. 82
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия ................................................ 82
2.2.2 Контрольный пример реализации проекта и его описание ................ 84
3 Обоснование экономической эффективности проекта ................................... 90
3.1 Выбор и обоснование методики расчёта экономической эффективности
90
3.2 Расчёт показателей экономической эффективности проекта ................. 100
Заключение ............................................................................................................ 109
Список использованной литературы .................................................................... 111
2
Приложение 1. Общие положения политики информационной безопасности ООО
«Гарс Телеком - УТ» ............................................................................................. 115
3
Введение
Сегодня информационная безопасность (ИБ) становится неотъемлемой
частью существования и развития многих государственных, коммерческих и
частных организаций. Защита данных основана на серьезных причинах, ведь при
утечки информации любая компания может понести серьезные убытки,
финансовые потери и другие виды ущерба, которые в конечном итоге могут
привести к деструктуризации предприятия.
Происходящее вокруг информационных ресурсов соперничество, борьба за
удержание и достижение некоторого информационного превосходства становятся
все более и более значимыми в геополитической конкуренции многих стран мира.
На сегодняшнем, новом этапе мировой истории, когда возможность активного
роста за счет обычного присоединения и присвоения новых ресурсов путем
вооруженных захватов территорий других стран стали неэффективными и
исчерпанными, возник вопрос о более качественных и приемлемых способах
геополитической конкуренции в новой информационной среде.
Становится понятным, что по мере глобализации информационной сферы
качество национальных систем безопасности очень часто становится решающим
фактором в вопросах политики любого субъекта геополитической борьбы. С
другой стороны, неэффективность подобной системы в области информационной
безопасности могут быть решающим фактором, приводящим к
крупномасштабной катастрофе или аварии, последствия которых могут вызвать
дезорганизацию текущего государственного управления, крах экономики или
финансовой системы и т.п.
Главная идея ИБ как социального явления заключается в том, чтобы
установить и реализовать различные морально-эстетические, нормативно-
правовые и организационные отношения между людьми, обеспечивающие баланс
человеческих интересов, а также интересов общества, государства в
информационной сфере.
В рамках дипломного проекта рассматривается объект, использующий в
процессе документооборота информацию, являющуюся коммерческой тайной.
Таким образом, можно сделать вывод, что данный объект подлежит анализу на
4
соответствие требований выставленных ГТК, и в случае не соответствия –
подлежит модернизации.
Целью проекта является повышение уровня защищенности системы
информационной безопасности в ООО «Гарс Телеком - УТ».
Объектом исследования является ООО «Гарс Телеком - УТ», а предметом
исследования - процесс повышения уровня защищенности системы
информационной безопасности. При написании дипломного проекта были
применены такие методы научного исследования, как изучение научной
литературы по теме исследования, нормативно-правовой базы, аналитический и
сравнительный методы.
Диплом состоит из 3 глав.
В первой главе рассмотрена задача построения информационной
безопасности, для решения которой проводится характеристика информационной
системы предприятия, угроз ИБ, и выдвижение требований к системе защиты
информационной безопасности.
Во второй главе затрагиваются вопросы проектирования системы
информационной безопасности в рамках государственных стандартов.
Определяются требования к системе информационной в рамках тех же
государственных стандартов. Так же производится анализ существующей
системы ИБ, и выявление несоответствий требованиям государственных
стандартов.
Эта же глава посвящена устранению недостатка в системе ИБ предприятия
именно описанию внедрения программного-аппаратного комплекса для защиты
информации компании.
В третьей главе производится оценка экономического эффекта от
модернизации системы информационной безопасности компании.
5
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
Компания ООО «Гарс Телеком - УТ» была основана в 1999 году. За первые
несколько месяцев существования организации руководство определило цели и
стратегию дальнейшего развития, что позволило в том же году компании стать
лицензированным оператором связи и начать освоение Москвы и городов
Московской области. В настоящее время компания продолжает активно
развиваться, строя собственные ВОЛС в Москве и в городах Подмосковья.
Компания ООО «Гарс Телеком - УТ» осуществляет подключения
физических и юридических лиц по трем направлениям проектов:
Проект «ВОЛС» - подключение по технологии Ethernet и ВОЛС от
существующей сети;
Проект «AirMAX» - подключение по средствам радио каналов от
базовых радиоузлов;
Проект «BitWay» - подключение по средствам технологии ADSL2.
Также компания предоставляет много других бесплатных сервисов для
своих клиентов: FTP сервер, игровой сервер, почтовый сервер и т.д.
Основные экономические показатели деятельности компании приведены в
таблице 1.1.
Таблица 1.1
Экономические показатели деятельности компании ООО «Гарс Телеком -
УТ»
№
показателя
Наименование показателя
Значение показателя
1
Количество подключенных
юридических лиц
На 1 мая 2019 года – 3580
организация
2
Количество подключенных
физических лиц
На 1 мая 2019 года –
27000 человек
3
Количество городов, в которых
присутствует компания
На 1 мая 2019 года – 10
городов
6
4
Количество прочих населенных
пунктов, в которых присутствует
компания
На1 мая 2019 года – 37
НП
5
Годовой оборот
В период с января 2018
года по январь 2019 года
– 1,3 млрд руб.
6
Активы
На 1 мая 2019 года – 470
млн руб.
7
Основной капитал
На 1 мая 2019 года – 19
000 000 руб.
8
Персонал фирмы
На 1 мая 2019 года – 257
чел.
9
Средняя заработная плата
сотрудников
На 1 мая 2019 года – 50
000 руб.
10
Средняя стоимость подключения
юридического лица
На 1 мая 2019 года –
10 000 руб.
Таким образом, экономические показатели деятельности фирмы
свидетельствуют о ее стабильном положении на рынке, что позволяет выделить
некоторые средства для обеспечения информационной безопасности.
1.1.2 Организационно-функциональная структура предприятия
Организационную структуру ООО «Гарс Телеком - УТ» можно представить
в виде следующей схемы (Рис. 1.1).
Генеральный директор
Технический
директор
Коммерческий
директор
Директор по
сервису и
эксплуатации сети
Финансовый
директор
Генеральный
директор ГТ
Северо-Запад
Директор по
развитию
информационных
технологий
Руководитель
департамента
продаж VOIP
Директор по
управлению
персоналом
Главный бухгалтер
Директор по
маркетингу
Отдел закупок
Отдел
проектирования и
организация сетей
связи
Отдел управления
проектами
Департамент
сопровождения и
развития клиентов
Отдел активных
продаж
Отдел по работе с
операторами
Отдел
телемаркетинга
Отдел по продаже
услуг мобильной
связи
Отдел голосовой
сети
Отдел технической
поддекржки
Отдел
эксплуатации сети
передачи данных
Биллинговый отдел
Отдел по работе с
дебиторской
задолженностью
Руководитель
казначейства
Отдел продаж
Отдел управления
проектами
IT отдел
Отдел развития
технологий
Отдел продаж
Административно
хозяйственный
отдел
Отдел развития
Рис. 1.1 Организационно-штатная структура ООО «Гарс Телеком - УТ»
7
Рис. 1.2 Организационно-штатная структура ООО «Гарс Телеком - УТ».
Гарс Телеком с 2015 года является дочерней компанией ПАО «Мегафон»,
соответственно, единственным акционером является ПАО «Мегафон».
Генеральный директор. Высшее руководство, которое без доверенности
действует от имени фирмы и представляет его интересы. Осуществляет общий
контроль за деятельностью организации и совместно с директоратом ПАО
«Мегафон» определяет дальнейшее направление развития фирмы. Принимает
непосредственное участие в повышении сотрудников, их аттестации и назначении
на руководящие должности в компании;
Коммерческий директор (зам. генерального директора). Высшее
руководство, которое по доверенности действует от имени фирмы и представляет
его интересы. Осуществляет общий контроль за коммерческим отделом (самым
многочисленным направлением компании), принимает непосредственное участие
в разработке новых проектов, определяет и утверждает их стоимость;
Руководитель департамента сопровождения и развития клиентов –
осуществляет непосредственный контроль за деятельностью отдела развития
клиентов и отдела сопровождения клиентов. Разрабатывает новые коммерческие
проекты, ведет статистику по подключениям и оттокам, стимулирует
деятельность отдела (назначает премии по итогам квартала), подчиняется
коммерческому директору;
Отдел активных продаж – состоит из менеджеров и руководителей групп,
которые занимаются поиском новых клиентов, оформлением договоров и
ведением клиента до момента подключения;
Отдел по работе с операторами - состоит из менеджеров, которые
занимаются урегулированием вопросов с операторами связи, заключением
договоров и контроля оплаты;
Отдел телемаркетинга – состоит из руководителя и менеджеров, которые
отвечают за генерацию новых лидов;
Отдел по продаже мобильной связи – состоит из руководителя и
менеджеров, которые отвечают за продажи мобильной связи, поддержке клиентов
и обучение новых сотрудников;
8
Отдел развития – состоит из руководителя отдела и менеджеров, которые
отвечают за заключение и поддержку партнёрских договоров с объектами
коммерческой недвижимости;
Технический директор. Высшее руководство, которое по доверенности
действует от имени фирмы и представляет его интересы. Осуществляет общий
контроль за всеми строительными и инженерными работами, контролирует
действия начальников технических отделов и отвечает за сдачу отчетности в
Службу Государственного Надзора за Связью в Российской Федерации;
Отдел закупок – состоит из руководителя отдела и менеджеров,
осуществляет взаимодействие с поставщиками и вендорами, занимается всеми
закупками компании, а также выдачей оборудования под различные проекты;
Отдел проектирования и организации сетей связи – состоит из
руководителя и инженеров, которые занимаются постройкой и модернизацией
инфраструктуры сети;
Отдел управления проектами – состоит из руководителя и инженеров,
которые составляют необходимую техническую документацию для отдела
проектирования и организации сетей связи, а также управляют ресурсами;
Директор по сервису и эксплуатации сети – осуществляет контроль за
сервисным обслуживанием клиентов компании, взаимодействие с силовыми
органами Российской Федерации, реализацией и внедрением новых сервисных
политик компании;
Отдел голосовой сети – состоит из руководителя и инженеров, которые
отвечают за маршрутизацию всего голосового трафика компании;
Отдел технической поддержки - состоит из руководителя и сотрудников
службы поддержки, которые занимаются решением всех технических проблем
абонентов компании в режиме 24/7;
Отдел эксплуатации сети передачи данных – состоит из руководителя и
инженеров, которые занимаются маршрутизацией всего трафика компании.
Финансовый директор – отвечает за обеспечение формирования объёма
денежных средств, достаточного для покрытия потребностей компании,
совершенствование расчётной политики предприятия и экономической
стабильности компании;
9
Биллинговый отдел - состоит из руководителя и финансовых специалистов,
которые занимаются формированием счётов для клиентов, выставлением
доначислений и корректировок, обработкой клиентских платежей;
Отдел по работе с дебиторской задолженностью – состоит из руководителя
и финансовых менеджеров, в обязанности отдела входит досудебная работа с
должниками компании, если данная практика не увенчалась успехом, то отдел
подготавливает документы для суда;
Казначейство – отдел, напрямую подчиняющийся финансовому директору,
данный отдел занимается всеми взаиморасчётами с партнёрами;
ГТ Северо-Запад – самостоятельное подразделение компании ООО «Гарс
Телеком – УТ» в Северо-Западном регионе Российской Федерации,
подчиняющееся генеральному директору ООО «Гарс Телеком –УТ»;
Директор по развитию информационных технологий – осуществляет
разработку и внедрение новых продуктов, а также модернизацию и оптимизацию
имеющихся, используя клиентский опыт;
IT отдел – состоит из руководителя отдела и инженеров, в их обязанность
входят обеспечение работоспособности всего ИТ комплекса компании,
оптимизация и настройка оборудования компании;
Отдел развития технологий – состоит из руководителя отдела и
менеджеров, которые отвечают за настройку и поддержку новых продуктов;
IT отдел – состоит из бухгалтеров, которые осуществляют различные
финансовые операции с наличными и безналичными средствами компании;
Департамент продаж VOIP – состоит из руководителя департамента и
менеджеров по продажам, которые отвечают за продажу и поддержку VOIP услуг
и сервисов;
Директор по управлению персоналом – отвечает за управление
формированием, развитием и использованием персонала, принимает решения по
вопросам найма, перевода, продвижения по службе, подготовке кадрового
резерва, а также за формирует основы корпоративной культуры и управляет её
развитием;
Административно хозяйственный отдел – состоит из руководителя и
сотрудников различных служб (курьеры, водители, секретари), которые отвечают
10
за обеспечение офиса всем необходимым для работы, ответы на телефонные
звонки, приём и отправку корреспонденции, а также развоз сотрудников по
встречам;
Бухгалтерия – отвечает весь финансовый документооборот компании,
начисление заработной платы и премий сотрудникам, расчёт ненормированных
выплат;
Директор по маркетингу – отвечает за продвижение бренда компании,
поиск новых рынков сбыта, организацию и проведение клиентских мероприятий,
а также анализ рекламаций и претензий клиентов.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Под активами (ресурсами) понимаются не только материальные объекты,
но и сервисы, функционирование которых критично для процессов, а также
данные, используемые в процессе операционной деятельности [1].
Цель идентификации активов — определение перечня активов, в
отношении которых требуется управление рисками, а также перечня связанных с
активами бизнес-процессов.
Идентификацию активов следует начинать с идентификации и описания
бизнес-процессов, т. е. "сверху вниз", а не наоборот, как это делает в последнее
время большое количество ИТ-специалистов, формируя таким образом списки
различных ни к чему не привязанных активов
Все бизнес-процессы, протекающие в той или иной организации,
целесообразнее всего разделить на 2 категории:
• основные процессы;
• вспомогательные процессы.
Основные процессы связаны с производством различных товаров или
услуг, предоставлением этих товаров и услуг заинтересованным внешним
потребителям. Данные бизнес-процессы являются основными с точки зрения
того, как именно с нарушением этих процессов связаны основные риски
организации.