16
Обеспечение работы транспортных услуг выполняется группой
администраторов со старшим администратором и менеджером по транспорту.
Специалист по качеству планирует и реализует меры по повышению
конкурентоспособности компании, улучшает технологические процессы
предприятия, участвует в обучении сотрудников, решает вопросы сертификации
склада для повышения уровня защищенности продукции и соответствия
предприятия ее высоким стандартам обеспечения качества хранимой продукции
клиентов.
Техническое обеспечение, а также безопасность труда и работников на
предприятии обеспечивается специалистом по охране труда, в его ведении также
находится организация своевременного ремонта и обслуживания техники склада,
управление группой механиков.
Организация физической безопасности передана компании ООО “МГБ”.
Начальник охраны подчиняется Управляющему складским комплексом, где в его
ведении находится объект. Взаимодействие на уроне Генеральных директоров
компаний осуществляется в рамка группы компаний Адмирал.
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Согласно нормативной документации активы организации это все что имеет
ценность для организации в интересах достижения целей деятельности и находится
в ее распоряжении. [3] Один из этапов анализа рисков является идентификация всех
объектов, нуждающихся в защите.
Основным объектом для получения прибыли компании является склад.
Компания оказывает услуги ответственного хранения товара клиентов на своей
территории.
Предлагаемые Адмирал-В складские услуги представляют собой комплекс
различных логистических операций, в число которых входит приемка груза, его
обработка, проведение необходимых погрузочно-разгрузочных работ,
инвентаризация, сортировка и хранение на специально оборудованном складе.
17
Поэтому хотелось бы выделить некоторые активы из этого процесса составляющие
складские услуги в данной компании.
В компании Адмирал-В циркулирует информация конфиденциального
характера, содержащая сведения ограниченного распространения (служебная тайна,
коммерческая тайна, персональные данные), и открытые сведения.
Любая организация, ведущая свою деятельность для получения прибыли,
имеет в штате финансовую службу. В компании Адмирал-В имеются данные
бухгалтерского, налогового и управленческого учета составляющие коммерческую
тайну. Защита этих данных необходима в целях недопущения распространения
информации, являющиеся собственностью компании, и может нести в себе
информацию о будущих планах компании, а также возможностях при постановках
целей развития на будущие года.
Для ведения своей деятельности и получения прибыли компания задействует
большое количество сотрудников склада численностью 209 человек. Процесс поиска
новых сотрудников, а также ведение документации, составляющей личные данные
соискателей осуществляется Отделом кадров. По этой части процесса имеются
данные, содержащие копии документов, хранимые в рамках договора с сотрудником
на сервере компании, и трудовые книжки при приеме на работу которые находятся
в отделе кадров. Рассматривая делопроизводство отдела кадров, документация,
находящаяся в распоряжении этого отдела, может содержать документы
необходимые для общей доступности, к примеру должностные инструкции,
хранимые на внутреннем ресурсе компании, а также личные данные работников,
табели, журналы. Оценка безопасности данных активов необходима для соблюдения
доступности материалов общего пользования в рамках договорных обязательств с
сотрудниками, целостности и не возможности изменения этих данных
злоумышленниками и конфиденциальности переданных документов отделу кадров.
Для ведения кадрового документооборота в соответствии с требованиями
законодательства используется отдельная база данных, основанная на программном
продукте 1С Предприятие: Зарплата и управление персоналом, в которой работа
осуществляется только финансовой службой и отделом кадров. Необходимость
оценки данного актива определена ведением сложного учета двумя
организационными единицами и имеют очень важное значение для компании.
18
Эксплуатация складских помещений требует соблюдения особых мер
безопасности. Помещения разделены на зоны, с определенным температурным
режимом, что позволяет подобрать место для скоропортящихся грузов или
предметов, для хранения которых необходимы особые условия. Согласно специфике
работы компании Адмирал-В осуществляет услуги по хранению товаров пищевой
продукции к хранению которой действуют определенные в NEN-EN-ISO 22000
нормы и правила. По мимо этого в рамках общих правил действуют нормы и правила
клиентов для предоставления своей продукции на ответственное хранение компании
Адмирал-В. Соблюдение всех пунктов данных правил как общепринятых, так и в
виде договора на оказание услуг со своими клиентами организации необходимо.
Осуществлять постоянный контроль за соблюдением и обеспечить непрерывность
оказания услуги является целью для получения прибыли компании.
Специалист по качеству является ответственным по соблюдению норм и
правил в этих нормативных документах. Рассматривая делопроизводство
специалиста по качеству хотел бы выделить необходимость оценки
информационного актива в виде документированных процедур от клиентов так как
эта информация содержит конфиденциальную информацию сторонней организации
и нуждается в оценке рисков нарушения конфиденциальности для обеспечения
непрерывности оказания услуги и соблюдению договорных обязательств перед
клиентом. Также хочу отметить необходимость включить в оценку
документированные процедуры по безопасности продукции составляющие
внутренние процессы системы менеджмента качества предприятия. Эта информация
является закрытой согласно внутреннему распоряжению.
Важным аспектом в работе является распределение товаров и налаживание
процесса поступления и обработки прихода товара. Рациональное размещение
продукции на складе является ключевым звеном всех поставок и отгрузок на складе
и обеспечиваются собственной системой автоматизации управления бизнес-
процессами WMS-Адмирал. Оценка данного актива сопряжено с рисками потери
доступности пользователям информационного ресурса в виде базы данных всех
операций по складу. В процессе работы возможны нарушения целостности данных,
их актуальности в хранимой информационной базе. На ряду с этим необходимо
рассмотреть вопрос о конфиденциальности предоставляемой информации в рамках
19
пользования информационной базой. Это необходимо так как в рамках
договоренностей с клиентами создается отдельные ресурсы для хранения
информации, доступ к которым необходимо разграничить. Необходимо так же
идентифицировать активы аппаратной части в виде серверов так как это является
основой для обработки данных, рассматриваемых выше. Выход из строя аппаратной
части повлечет за собой отсутствие возможности совершать свои договорные
обязательства перед клиентами.
Программное обеспечение, законно установленное на компьютерах
организации и используемое ее сотрудниками, является таким же активом, как и всё
остальное: оргтехника, voip телефоны, терминалы сбора данных (ТСД),
находящиеся в собственности. Активами необходимо управлять и искать им
наилучшее применение, планировать амортизацию и замену. Наконец, все они
имеют ценность, которая в конечном итоге определяет и ценность самой компании.
Поэтому необходимо оценить стоимость таких активов, используемых в процессе
обработки данных.
Ведется документация для оперативного управления в виде журналов и
распорядительных документов. Склад предназначен для хранения не только
материальных ценностей, но и является площадкой для оказания складских услуг.
Услуги ко-пакинга, осуществляемые в рамках складских услуг, представляют
собой предпродажную подготовку продукции и вынесена в отдельные площади на
складе. К ним относится упаковка, маркировка и вложение документации в
продукцию, а также ведение комплектации заказов для последующей
транспортировки в сети магазинов. На всех этих этапах задействуется большое
количество людей и риск потери и кражи продукции имеет большую роль в процессе
управление складскими ресурсами.
Для обеспечения непрерывности работы всех процессов склада используется
активы как людские, так и технического назначения. Документирование происходит
на всех уровнях работы и является так же объектом ценности для ведения своей
деятельности.
При оценке ценности актива используют качественные характеристики
оценки: «пренебрежимо малая», «очень малая», «малая», «средняя», «высокая»,
20
«очень высокая». Выбор конкретного термина зависит от многих факторов,
определяемых деятельностью организации, её структурой и другими.
При определении ценности актива привлекается достаточно большое
количество разных людей. При определении ценности актива возможно применение
различных терминов, таких как первоначальная стоимость актива, стоимость его
обновления или воссоздания, при этом ценность может быть выражена
нематериально, например, как цена репутации компании.
Помимо принятых стандартных способов оценки в организации могут быть
введены свои критерии и факторы оценки ценности активов, например, только
«малая», «средняя» и «высокая». В данном случае руководством компании
самостоятельно принимает решение установления рамок оценки вида актива от
суммы ущерба, ведь сумма ущерба, считаемой малой в крупной организации, может
стать большим для небольшой фирмы. [18]
Для удобства были применены сокращения должностей владельцев активов,
рассматриваемых в организационной схеме. [Приложение 5]
В таблице 2 представлены наиболее используемые и важные активы
компании.
21
22
23
Исходя из выбранных активов можно сформировать перечень сведений,
которые можно отнести к информации конфиденциального характера. В таблице 3
Таблица 3
Перечень сведений конфиденциального характера ООО «Адмирал-В»
№
п/п
Наименование сведений
Гриф
конфиденциальности
Нормативный
документ,
реквизиты, №
статей
1. Информация об используемых
методах и средствах защиты на
рабочих местах и в локальной
сети
ДСП (Для
служебного
пользования)
Федеральный
закон "Об
информации,
информационных
технологиях и о
защите
информации" от
27.07.2006 N 149-
ФЗ
2. Сведения, представляющие
коммерческую тайну
Коммерческая тайна Федеральный
закон "О
коммерческой
тайне" 98-ФЗ
редакция от
29.07.2004
3. Персональные данные
сотрудников
Конфиденциально Федеральный
закон "О
персональных
данных" от
27.07.2006 N 152-
ФЗ
24
Произведем ранжирование выбранных активов на этапе оценки активов в
таблице 2. Ранжирование активов будет выполнено с присвоением ранга от 1 до 5,
где наивысшим рангом является “5”, а наименьшим “1” в таблице 4.
Таблица 4
Результаты ранжирования активов
Наименование актива Ценность актива (ранг)
Договора, контракты 5
Технические задания по обеспечению
качества продукции
3
Информационные материалы о продукции 4
Данные о компании контрагента и его активах
3
Материалы для обучения, переобучения,
медицинские заключения
2
Бухгалтерская отчетность 3
Финансовая отчётность 2
Кадровая информация 3
Программное обеспечение рабочих станций
3
Базы данных WMS-Адмирал 5
Персональные компьютеры и ноутбуки 3
Сервера WMS-Адмирал 5
Программное обеспечение рабочих станций 5
Многофункциональные устройства (МФУ)
4
Исходя из анализа ценности активов, наибольшую ценность представляют
следующие активы:
1. Договора, контракты;
2. Базы данных WMS-Адмирал;
3. Сервера WMS-Адмирал;
4. Программное обеспечение рабочих станций;
5.
Многофункциональные устройства (МФУ).
1.2.2. Оценка уязвимостей активов
При разработке комплексного подхода к созданию системы информационной
безопасности важным шагом является оценка уязвимостей активов организации и
определение должного уровня безопасности.
25
Согласно нормативной документации уязвимость – это своего рода свойство
информационной системы, обуславливающее возможность реализации угроз
безопасности, обрабатываемой в ней информации. [4] Исходя из этого определения
можно предположить, что условием реализации угрозы безопасности
обрабатываемой в системе информации может быть недостаток или слабое место в
информационной системе. Если уязвимость соответствует угрозе, то непременно
будет существовать и риск.
В настоящий момент времени существует довольно большое количество угроз
информационной безопасности, приводящих к различным уровням ущерба. Под
угрозами информации, необходимо понимать потенциальные или реально
возможные действия по отношению к информационной сфере, приводящие к
несанкционированным изменениям свойств информации при котором происходит
нарушение конфиденциальности, доступности и целостности обрабатываемой
информации. [21]
При оценке уровень угрозы в зависимости от результата ее воздействия может
быть определен как высокий, средний или низкий. Основываясь на определении
угроз и уязвимостей, и их комбинации, можно оценить риск и выбрать защитные
меры и, тем самым, повысить безопасность активов. Далее необходимо оценивать
остаточный риск для того, чтобы определить, адекватно ли защищены активы.
В настоящее время организации Адмирал-В для ведения своей деятельности
все больше используются информационные системы. Они затрагивают практически
все бизнес-процессы предприятия и являются основой для взаимодействия и
оперативного управления. Отказ от бумажных носителей, а также переход к
электронным системам учета и распределения ведет за собой новый риск потери
возможности использования активов, которые являются для организации основным
средством получения прибыли. Принятые нормативные документы в виде
международных стандартов и Гостов для обеспечения менеджмента
информационной защиты активов помогают организациям уменьшить риски, с
которыми они сталкиваются при использовании таких систем. Следует учитывать,
что риск никогда не устраняется полностью. [1]
В общем случае под риском понимают способность конкретной угрозы
использовать уязвимости одного или нескольких видов активов для нанесения