6
Содержание
Введение .................................................................................................................. 8
I Аналитическая часть .......................................................................................... 10
1.1. Технико-экономическая характеристика предметной области и
предприятия ................................................................................................................. 10
1.1.1. Общая характеристика предметной области ................................... 10
1.1.2. Организационно-функциональная структура предприятия ........... 14
1.2. Анализ рисков информационной безопасности ..................................... 16
1.2.1 Идентификация и оценка информационных активов ...................... 16
1.2.2. Оценка уязвимостей активов ............................................................. 24
1.2.3. Оценка угроз активам ........................................................................ 33
1.2.4. Оценка существующих и планируемых средств защиты ............... 43
1.2.5. Оценка рисков ..................................................................................... 56
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ....................................................................... 63
1.3.1. Выбор комплекса задач обеспечения информационной
безопасности ............................................................................................................ 63
1.3.2. Определение места проектируемого комплекса задач в комплексе
задач предприятия, детализация задач информационной безопасности и защиты
информации .............................................................................................................. 67
1.4. Выбор защитных мер ................................................................................ 69
1.4.1. Выбор организационных мер ............................................................ 69
1.4.2. Выбор инженерно-технических мер ................................................. 74
II Проектная часть ............................................................................................ 83
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия.............................................. 83
7
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия ....................................................................................... 83
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия ............................................................................................................. 87
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации предприятия
....................................................................................................................................... 90
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия.............................................. 90
2.2.2. Контрольный пример реализации проекта и его описание ............ 92
III Обоснование экономической эффективности проекта .............................. 101
3.1 Выбор и обоснование методики расчёта экономической эффективности
..................................................................................................................................... 101
3.2 Расчёт показателей экономической эффективности проекта .............. 105
Заключение .......................................................................................................... 111
Список литературы ............................................................................................. 114
Приложения ......................................................................................................... 117
Приложение 1 Форма об утверждении порядка доступа в серверное
помещение. ................................................................................................................. 117
Приложение 2 Положение о конфиденциальной информации. ................ 122
Приложение 3. Об утверждении Должностной инструкции Специалиста по
ИТ ................................................................................................................................ 129
Приложение 4. Должностная инструкция. ................................................... 130
Приложение 5. Сокращения должностей. .................................................... 137
8
Введение
В современном мире в основе работы любого бизнеса стоит задача создания
надежной информационной системы для хранения и обработки информации.
Подобные системы призваны обеспечить полное функционирование организации на
всех жизненных циклах. Информация накапливается и систематизируется в базах
данных, оставляя все больше и больше вопросов по способам хранения и
предоставления информации как внутри организации так и при обмене с внешними
участниками бизнеса.
Учитывая информацизацию всех процессов организаций в нашем
современном мире большую роль приобретает обмен между ИС предприятий для
получения информации о выполненных заказах или состоянии порученного задания
на обработку каких либо товарных единицах. Информация должна находится в
постоянном режиме работы 24/7.
Доступность как сервисов компании так и информации оговоренной в
договорных отношениях является необходимым условием при работе. Установкой и
настройкой таких сервисов занимается высококвалифицированный персонал
призванный обеспечить доступность и целостность, должен следить за состоянием
оборудования которое обеспечивает основу функционирования всех сервисов
компании. Поддержка работоспособности решается не только в приобретении
дополнительного оборудования, но и в организации работы персонала по
обслуживанию таких систем.
Информация хранимая на сетевых ресурсах компании может быть разного
вида. Это и общедоступная информация для внутреннего пользования, внешних
клиентов и потенциальных покупателях, а так же состовлять конфиденциальную
информацию организации. Для определения, ограничения и осуществления
процесса по обработке с такого вида информацией как внутри организации так и при
взимодействии с другими организациями необходима регламентация всех процессов
по обеспечению безопасности всей информации хранимой как на серверах так и на
бумажных носителях. Для решения таких задач необходима разработка
организационных мер по защите информационной безопасности и защиты
информации. Под защитой информации подразумевают использование
9
разнообразных специализированных методов и средств, главной целью которых
является предотвращение утери или кражи информации.
Любая информация, передаваемая по сети или хранящаяся на компьютере,
может быть перехвачена или похищена злоумышленником. Именно поэтому цель
информационной безопасности – оградить данные от злоумышленников, не
допустить утечку данной информации и сохранить её целостность и актуальность.
Мероприятия, связанные с информационной безопасностью, могут быть самыми
разнообразными – защита информации при передаче по каналам связи, защита
информации от утечки по техническим каналам, обеспечение ограничений доступа
к особо охраняемой информации
Объектом исследования является общество с ограниченной
ответственностью ООО «Адмирал-В».
Предметом исследования является система защиты информации в ООО
“Адмирал-В”.
Основной целью дипломной работы является на основе изучения общей
характеристики и данных по проводимым мерам обеспечения безопасности
организации выявить наиболее важные активы подверженные угрозам и произвести
анализ как уязвимостей так и рисков возникновения угроз активам, разработать
комплекс организационных мер по информационной безопасности и защиты
данных обрабатываемых в компании ООО “Адмирал-В”.
Для достижения указанной цели необходимо решить ряд задач:
− Произвести анализ деятельности компании, программной и
технической архитектуры;
− Осуществить анализ текущего состояния информационной защиты в
организации;
− Описать выбор средств для системы защиты информации;
− Разработать комплекс организационных мер по информационной
безопасности организации и защиты информации.
− Произвести расчет затрат на реализацию проекта системы защиты
информации.
10
I Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия
1.1.1. Общая характеристика предметной области
В данном дипломном проекте будет рассматриваться общество с
ограниченной ответственностью “Адмирал-В” входящего в состав группы компаний
ООО “Логистическая группа Адмирал” (в последующем Адмирал) основанной на
базе компаний ЗАО “Терминал-СВ” и ООО “Адмирал” и являющегося его
представителем в Московской области под именем Адмирал-В (Внуково).
Представленная логистическая группа была создана в 2004 году, работает в
сфере складских, транспортных услуг и услуг по таможенному оформлению товаров
на таможенных постах Российской Федерации уже на протяжении более 20 лет,
является одним из первых профессиональных логистических провайдеров
современной России. Основные подразделения услуг:
• складские услуги;
• транспортная логистика;
• таможенные услуги;
• охранные услуги.
Складские услуги представлены 8-ю высочайшего класса А складскими
комплексами с профессиональным управлением в таких городах как Санкт-
Петербург, Москва, Алмата. Данное направление включает в себя услуги
ответственного хранения, распределения товаров, ко-пакинг. В работе складских
комплексов используется собственная система управления процессами WMS-
Адмирал которая разрабатывалась специалистами ИТ отдела “группы компаний
Адмирал” на основе программного продукта 1С Предприятие.
Транспортная логистика представлена в виде международных, мульти
модальных и внутренних перевозок. Логистическая группа «Адмирал» является
экспертом в области перевозок пищевой продукции, крупногабаритных и
тяжеловесных грузов, опасных, требующих температурного контроля. Наличие в
собственности Логистической группы складских комплексов класса А, находящихся
11
в непосредственной близости от порта Санкт-Петербург, Кронштадт и Усть-Луга, а
также складского комплекса на пути транзитного коридора Китай – Западная Европа
в г. Алматы, в комплексе с многолетними партнерскими отношениями с основными
морскими линиями, позволяет выстраивать эффективные цепи поставок грузов как
экспортных, так и импортных, осуществляя “transshipment” грузов с автомобильного
и железнодорожного транспорта на морской и в обратном направлении. Для
реализации данного направления необходим постоянный обмен информацией
между информационными системами заказчика, принятие груза, погрузка, отправка
автомобиля учитывая объем операций необходима бесперебойная работа всех
информационных сервисов компании 24 часа 7 дней в неделю.
Таможенные услуги представлены на рынке Северо-Западного региона
России таможенным представителем – компанией ЗАО “Терминал-СВ”
осуществляющую импорт оборудования из других стран и дальнейшего поэтапного
комплекса мероприятий. Специалисты Логистической группы в области
таможенного законодательства осуществляют сопровождение клиентов по
следующим направлениям:
− ввоз оборудования в качестве вклада в уставный капитал;
− получение предварительных классификационных решений ФТС РФ как
на отдельные товарные позиции, так и на технологические линии;
− получение классификационных решений ФТС РФ на комплектное
оборудование;
− получение разрешения на временное хранение товаров на складе
получателя;
− открытие временных и постоянных зон таможенного контроля;
− получение статуса Уполномоченного Экономического Оператора, и
организация взаимодействия с таможенным органом.
Охранные услуги представлены предприятием ООО “МГБ”. В рамках данной
организации осуществляется вооруженное сопровождению грузов клиентов от
границы Российской Федерации до таможенного поста и от таможенного поста до
склада клиента. Так же охрана объектов, складских комплексов и является
подразделением общей службы безопасности касаемо физической безопасности
работников и материальных ценностей, обеспечение пропускного и внутри-
12
объектного режима. Находится в тесном взаимодействии с сотрудниками отдела
защиты информации относительно использования средств технической защиты.
Адмирал является средним предприятием. Компания начала свою
деятельность в 2014 году на основах группы компаний Адмирал и в последующем,
для оперативного управления была учреждена в 2016г. как отдельное юридическое
лицо компания Адмирал-В входящая в состав группы. Организационно-правовая
форма – Общество с Ограниченной Ответственностью (ООО). Цель работы ООО
“Адмирал-В” представление интересов Адмирала в Московском регионе, где будет
возможно формирование комплекса складских услуг, а также транспортная
логистика, предоставляемых в рамках работы группы компаний Адмирала. Имеет в
своем владении складской комплекс класса А. Основными видами деятельности
является хранение и распределение товаров крупных производителей и сетей
магазинов на территории собственного складского комплекса, ко-пакинг, а также
транспортная логистика грузов.
В организации для своей непосредственной деятельности используется
собственная ERP система (система управления процессами) WMS-Адмирал
созданная отделом программных решений Адмирала основанная на программном
продукте 1С Предприятие. В режиме работы склада WMS-Адмирал производит
постоянный обмен с другими программными продуктами клиентов так как
взаимодействие является частью работы по обработке и транспортировке грузов.
Интеграция ведется с другими системами ERP таких как SAP, посредством
организации обмена данными с использованием международной технологии
Electronic Data Interchange (EDI).
Компания является частью цепи поставок таких крупных организаций как
Unilever, Nutricia, Jacobs, Mondelez. Производители продуктов питания полагаются
на надлежащие методы хранения и транспортировки для обеспечения безопасной
доставки продукции в пункт назначения в хорошем состоянии. Роль организаций,
участвующих в транспортной сети поставок, заключается в защите продуктов
питания, ингредиентов, сырья и упаковки во время хранения и перевозки.
Минимизацией рисков является создание, внедрение и поддержка требований к
системе управления безопасностью пищевых продуктов. Одним из таких
требований является система предварительных условий (ППУ) в которые входит
13
обеспечение не прерывной работы ИТ инфраструктуры и обеспечение
информационной безопасности информационных активов предприятия.
Обеспечение бесперебойной работы данного предприятия является очень
важным моментом в таком виде деятельности так как в договорных отношения
записаны рамки простоя системы и применения санкций за не своевременную
обработку единицы информации, документа что в свою очередь может повлечь
потере товара.
Информационная система компании создана по принципу однотипности на
всех площадках в разных регионах. Поддержка программного продукта, а также
информационная защита предприятия организована силами сотрудников отдела
Информационных Технологий. Основные задачи решаемые ИТ отделом это
поддержка работоспособности оборудования 24/7, контроль и выявление
неисправностей во всех информационных процессах обмена между системами,
ведение технической документации.
Физическая защита информации и сотрудников предприятия на высоком
уровне осуществляется силами охранного предприятия ООО “МГБ”. Данное
предприятие находится в постоянном контакте по части организации безопасности
с ИТ отделом Адмирал-В, получая и предоставляя информацию по части выявления
и предотвращения угроз на территории складского комплекса. Организация
административной защиты возложена на ИТ отдел и находится в начальной стадии
формирования общих правил и норм в рамках обеспечения комплексной защиты
безопасности информации.
Регламентирование процессов деятельности ИТ отдела, функционирования
автоматизированной системы, деятельности персонала при взаимодействии с
системой WMS-Адмирал необходимая мера для создания комплексной защиты
обеспечения безопасности складского комплекса, а также обеспечения
бесперебойной работы ИТ инфраструктуры для выполнения договорных
обязательств и сертификаций по системам обеспечения безопасности продукции.
В таблице 1 представлены основные показатели эффективности видов
деятельности ООО «Адмирал-В».
14
Таблица 1
Основные характеристики (показатели эффективности) видов деятельности
№ п\п Наименование
характеристики
(показателя)
Значение
показателя на
2018год
Единицы
измерения
1
Вместимость склада
20 000 паллет
2
Количество камер
видеонаблюдения
250 штук
3
Количество
сотрудников
209 человек
4
Количество
рабочих станций
50 компьютеров
5
Уровень показателя
KPI
99,8 В процентах
6
Общая прибыль
компании
500000000 В рублях
7
Средняя зарплата 50000 В рублях
1.1.2. Организационно-функциональная структура предприятия
Общая функциональная организационная структура представлена на Рисунке
1.
В компании Адмирал-В Генеральный директор несет ответственность за
сохранность и эффективное использование имущества организации, контроль во
всех сферах деятельности данной структурой предприятия входящую в группу
компаний Адмирал и соблюдения законодательства.
15
Рисунок 1. Организационно-функциональная структура предприятия.
Структура управления складским комплексом представлена двумя уровнями:
управленческим и организационным. На управленческом уровне находится
Генеральный директор. В его обязанности входит:
− разработка тактики деятельности реализация утвержденных планов;
− организация деятельности сотрудников отделов;
− работа с клиентами и партнерами в рамках заключенных договоров.
Задачи организационного уровня исполняет управляющий складскими
операциями. Деятельность его связана с:
− ведением контроля структурных подразделений склада;
− управление складскими операциями непосредственно на самом складе;
− участие в разработке и совершенствовании структуры управления
складскими операциями;
− ведение учета рабочего времени.
Деятельность по предоставлению ко-пакинга товаров представлена
отдельным отделом, управление и организация деятельности выполняется
управляющим ко-пакинговыми операциями.