106
п/п
часовая
ː
зарплата
ː
специалиста
ː
(руб.)
емкость
ː
операции
ː
(чел.-час)
всего
ː
(тыс.
руб.)
1
Обследование
ː
объекта и
ː
обоснование
необходимости
ː
создания СЗИ
ː
для АИС
ː
СОНКО
300
5
1,5
Продолжение таблицы
ː
22
1
2
3
4
5
2
Постановка
ː
целей
ː
и
ː
задач
ː
СЗИ
ː
для
ː
АИС
ː
СОНКО
300
3
0,9
3
Проектирование
ː
системы. Общие
ː
положения
300
12
3,6
4
Согласование и
ː
утверждение проекта
300
0,5
0,15
5
Подбор
ː
оборудования, поиск
ː
поставщика,
запрос
ː
коммерческого предложения
300
8
2,4
6
Составление
ː
заявки
ː
для
ː
согласования
ː
по
ː
стоимости
ː
оборудования/работ
300
0,5
0,15
7
Реализация
ː
проекта
0
8
Ввод
ː
в эксплуатацию/тестирование
300
4
1,2
9
Составление
ː
документации/регламента
ː
для
ː
пользователей
ː
системы
300
16
4,8
10
Составление
ː
отчета о
ː
проделанной работе
300
4
1,2
Стоимость
ː
проведения организационных
ː
мероприятий, всего
15,9
Мероприятия
ː
инженерно-технической
ː
защиты
№
ː
п/п
Номенклатура
ː
СЗИ,
ː
расходных
ː
материалов
Стоимость,
ː
единицы
ː
(тыс.руб)
Кол-во
ː
(ед.
ː
изм.)
Стоимость,
всего
ː
(тыс.руб.)
1
КриптоПро JCP
20
1
ː
шт.
20
2
eToken
ː
PRO
ː
(Jаvа)
1,5
15
ː
шт.
22,5
3
Гранит-8
2
10
ː
шт.
20
4
Фильтр
ː
сетевой
ː
«ЛФС-40-1Ф»
30
1 шт.
30
5
Монтаж
ː
оборудования,
ː
настройка
ː
СЗИ
300
200 чел.-час.
60
Стоимость
ː
проведения
ː
мероприятий
ː
инженерно-технической
ː
защиты
152,5
Объем
ː
разового
ː
ресурса,
ː
выделяемого
ː
на
ː
защиту
ː
информации
168,4
Описание оборудования.
КриптоПро JCP.
Комплектация: генерация ключей, формирование и проверка ЭЦП,
хэширование данных, шифрование.
107
Предоставляется лицензия на право использования СКЗИ «КриптоПро JCP» на
одном сервере с одним или двумя ядрами процессора. КриптоПро JCP
функционирует в следующем окружении:
1. виртуальная машина, удовлетворяющая спецификации Sun Java 2 ™ Virtual
Machine (машина, на которой написана АС СОНКО);
2. требуется Java 2 Runtime Environment версии 1.4.2, 1.5.0 (для версий 1.x) и
1.6 и выше (для версии 2.x).
eToken PRO (Jаvа).
USB-ключ eToken PRO (Java) архитектурно реализован как USB карт-ридер с
встроенной в него микросхемой (чипом) смарт-карты. Ключ выполнен в виде брелка
и напрямую подключается к порту USB, при этом не требует для своей работы каких-
либо дополнительных устройств [16].
Таблица
ː
23
Содержание
ː
и
ː
объем
ː
постоянного
ː
ресурса,
ː
выделяемого
ː
на
ː
защиту
ː
информации
Организационные
ː
мероприятия
№
ː
п/п
Выполняемые
ː
действия
Среднечасовая
зарплата
ː
специалиста (руб.)
Трудоемкость
ː
операции
(чел.-час)
Стоимость,
ː
всего
ː
(руб.)
1
Проверка системы
300
1,5
450
2
Создание
ː
резервной
ː
копии
ː
БД
300
1
300
3
Администрирование
пользователей
300
1
300
Стоимость
ː
проведения организационных
ː
мероприятий, всего
1050
Мероприятия
ː
инженерно-технической защиты
№
ː
п/п
Номенклатура
ː
СЗИ,
ː
расходных
ː
материалов
Стоимость,
ː
единицы
ː
(руб)
Кол-во
ː
(ед.изм.)
Стоимость,
ː
всего
ː
(руб.)
1
Смазка для
ː
замков
150
4 кор.
600
Стоимость
ː
проведения мероприятий
ː
инженерно-технической защиты
600
Объем
ː
постоянного
ː
ресурса,
ː
выделяемого
ː
на
ː
защиту
ː
информации
1650
Таблица
ː
24
Величины
ː
потерь
ː
(рисков)
ː
для
ː
критичных
ː
информационных
ː
ресурсов
после
ː
внедрения/модернизации
ː
системы
ː
защиты
ː
информации
Актив
Угроза
Величина
ː
потерь
ː
(тыс.руб.)
1
2
3
108
Сведения,
ː
составляющие
ː
тайну
Несанкционированное
ː
использование носителей
ː
данных
10
Ошибка
ː
обслуживающего
ː
персонала
1
Нелегальное проникновение
ː
злоумышленника под
ː
видом
санкционированных
ː
пользователей
0,1
Доступ
ː
несанкционированных
ː
пользователей
ː
к
ː
сети
0,1
Ненадлежащее
ː
использование
ː
ресурсов
1
Утрата
ː
ключей
ː
и
ː
атрибутов
ː
доступа
0,1
Ухудшение
ː
состояния
ː
носителей
ː
данных
0,01
Электромагнитное
ː
излучение
100
Финансовая
ː
документация
Несанкционированное
ː
использование носителей
ː
данных
10
Ошибка обслуживающего
ː
персонала
1
Нелегальное
ː
проникновение
ː
злоумышленника
ː
под
ː
видом
ː
санкционированных
ː
пользователей
0,1
Доступ
ː
несанкционированных
ː
пользователей
ː
к
ː
сети
0,1
Продолжение таблицы
ː
24
1
2
3
Ненадлежащее использование
ː
ресурсов
1
Утрата
ː
ключей
ː
и
ː
атрибутов
ː
доступа
0,1
Ухудшение состояния
ː
носителей данных
0,01
Электромагнитное
ː
излучение
100
Персональные
данные
ː
сотрудников и
ː
клиентов
Несанкционированное
ː
использование
ː
носителей
ː
данных
10
Ошибка
ː
обслуживающего персонала
1
Нелегальное
ː
проникновение злоумышленника
ː
под видом
ː
санкционированных пользователей
0,1
Доступ
ː
несанкционированных пользователей
ː
к сети
0,1
Ненадлежащее
ː
использование ресурсов
1
Утрата
ː
ключей и
ː
атрибутов доступа
0,1
Ухудшение
ː
состояния носителей
ː
данных
0,01
Электромагнитное
ː
излучение
100
Итого
336,93
3.2.
ː
Расчёт показателей
ː
экономической эффективности
ː
проекта
Оценим динамику величин потерь за период 1 год.
1. Суммарное значение ресурса, выделенного на защиту информации,
составило за год 168400 + 12 ∙ 1650 = 188200 рублей;
2. Объем среднегодовых потерь компании (R
ср
) из-за инцидентов
информационной безопасности составлял 696330 рублей;
3. Прогнозируемый ежегодный объем потерь (R
прогн
) составит 336930 рублей.
Динамика потерь представлена в таблице 25.
Таблица 25
Оценка динамики величин потерь
109
1 кв.
2 кв.
3 кв.
1 год
5 кв.
До внедрения СЗИ
174000
350000
520000
696330
870330
После внедрения СЗИ
84000
167000
252000
336930
421230
Снижение потерь
90000
183000
268000
359400
449100
Таким образом, после принятия обязательных допущений о неизменности
частоты появления угроз, а также о неизменном уровне надежности созданной
системы защиты информации возможно определить срок окупаемости системы:
ПрогнСР
ОК
RR
R
T
(1)
По полученным данным:
5,0
336930696330
188200
ОК
T
года
Выводы
Экономическая эффективность мероприятий по защите информации
определяется, исходя из ожидаемых потерь при нарушении защищенности
информации и зависимости между уровнем защищенности и средствами,
затрачиваемыми на защиту информации.
На основе анализа возможных угроз и размер трат для их нейтрализации было
определено, что срок окупаемости проекта составляет около 6 месяцев.
110
ЗАКЛЮЧЕНИЕ
Данная выпускная квалификационная работа выполнена с целью разработки
комплекса мер обеспечения информационной безопасности и защиты информации
для АНО «КПЦ «Виват».
При выполнении данной выпускной квалификационной работы был проведен
аудит и анализ имеющихся средств защиты информации. На основании выводов
данного анализа было разработано техническое задание по организации системы
защиты информации. В результате представлена система защиты информации,
обладающая следующими свойствами:
1. Шифрование баз данных, для более надежного хранения конфиденциальной
информации.
2. Использование цифровой подписи, для обеспечения целостности и
неизменности передаваемой / получаемой информации.
3. Использование цифровой подписи для осуществления электронного
документооборота, что существенно упрощает взаимодействие с партнерами.
4. Использование индивидуального электронного ключа для каждого
сотрудника АНО «КПЦ «Виват» для более надежной процедуры идентификации и
аутентификации объектов на рабочих местах.
5. Использование средств, направленных против съема информации по
телефонным линиям.
6. Использование средств, направленных против съема информации по ЛВС,
также против несанкционированного доступа к корпоративной сети компании.
7. Система защиты соответствует требованиям законодательных актов и
руководящих документов, принятым в РФ.
Таким образом, было выполнено подготовленное техническое задание на
разработку системы защиты информации на предприятии АНО «КПЦ «Виват».
Внесенные изменения существенно влияют на обеспечение безопасности АС
СОНКО. Были разработаны инструкции по внедрению ЭДО и ЦП. Также представлен
111
план размещения технических средств защиты конфиденциальной информации в
телефонных сетях и ЛВС.
112
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ
1. Майкл Дж. Д. Саттон Корпоративный документооборот. Принципы,
технологии, методология внедрения. – Санкт-Петербург: Азбука, 2012. – 446 с.
2. Блинов А.М. Информационная безопасность: Учебное пособие. Часть 1.
– СПб.: Изд-во СПбГУЭФ, 2015. – 96 с.
3. ФСТЭК, приказ № 17 от 11.02.2013.
4. ГОСТ Р 50922-2006 «Защита информации. Основные термины и
определения».
5. Закон РФ от 21.07.1993 N 5485-1 «О государственной тайне» (ред. от
29.07.2018).
6. Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 31.12.2017) «О
персональных данных».
7. Аверченков, В. И. Криптографические методы защиты информации/
В.И. Аверченков, М.Ю. Рытов, С.А. Шпичак, – Брянск: БГТУ, 2015. – 216 с.
8. Аверченков В.И. Организационная защита информации: учеб. Пособие
для вузов / В.И. Аверченков, М.Ю. Рытов. – Брянск: БГТУ, 2015. – 184 с.
9. Болдырев, А.И. Методические рекомендации по поиску и
нейтрализации средств негласного съема информации: практ. Пособие/ А. И.
Болдырев – М.: НЕЛК, 2011. – 137 с.
10. Государственная тайна в Российской Федерации: учеб-методич.
пособие/ под ред. М.А.Вуса. – СПб. Изд-во С.-Петерб. ун-та, 2019. – 330 с.
11. Большая энциклопедия промышленного шпионажа / Ю.Ф. Каторин.,
Е.В.Куренков, А.В. Лысов. - СПб.: Полигон, 2010. – 886 с.
12. Малюк, А.А. Введение в защиту информации в автоматизированных
системах/ А.А. Малюк, С.В. Пазизин, Н.С. Погожин. – М.: Горячая линия
Телеком, 2011. – 178 c.
13. Белкин, П.Ю. Программно-аппаратные средства обеспечения
информационной безопасности. Защита программ и данных: учеб. пособие для
вузов/ П.Ю. Белкин, О.О. Михальский, А.С. Першаков. – М.: Радио связь, 2010.-
215 с.