6
Содержание
Введение 8
I Аналитическая часть 11
1.1. Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения) 11
1.1.1. Общая характеристика предметной области. 11
1.1.2. Организационно-штатная и функциональная структура предприятия. 21
1.2. Анализ рисков информационной безопасности 26
1.2.1 Идентификация и оценка информационных активов. 29
1.2.2. Оценка уязвимостей активов. 42
1.2.3. Оценка угроз активам. 49
1.2.4. Оценка существующих и планируемых средств защиты. 57
1.2.5. Оценка рисков. 66
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты
информации на предприятии 70
1.3.1. Выбор комплекса задач обеспечения информационной безопасности. 70
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации. 71
1.4. Выбор защитных мер 73
1.4.1. Выбор организационных мер. 73
1.4.2. Выбор инженерно-технических мер. 75
II Проектная часть 76
2.1. Комплекс организационных мер обеспечения информационной безопасности и
защиты информации предприятия. 76
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия. 76
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия. 79
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
7
информационной безопасности и защиты информации предприятия. 81
2.2.1 Структура программно-аппаратного комплекса информационной безопасности
и защиты информации предприятия. 81
2.2.2. Контрольный пример реализации проекта и его описание. 88
III Обоснование экономической эффективности проекта 91
3.1 Выбор и обоснование методики расчёта экономической эффективности 91
3.2 Расчёт показателей экономической эффективности проекта 94
Заключение 98
Список использованной литературы 101
Приложение 1 103
Приложение 2 110
8
Введение
Тема выпускной квалификационной работы: разработка комплекса
организационных мер обеспечения информационной безопасности и защиты
информации на объекте расположения дополнительного офиса «Проспект мира»
являющегося структурным подразделением Публичного акционерного общества
«Промсвязьбанк».
В выпускной квалификационной работе использованы официальные
электронные и документальные материалы, находящиеся в общем доступе,
располагающиеся в сети «Интернет», учебной литературе и нормативно-правовых
актах. Все технические системы и средства обработки, защиты и транспортировки
информации являются типовыми и исключают схожесть с реальной
информационно-технической инфраструктурой Публичного акционерного
общества «Промсвязьбанк». Материал выпускной квалификационной работы
подобран так, чтобы исключить несанкционированное ознакомление с
корпоративной или государственной тайной.
Основными целями выпускной квалификационной работы являются:
1. Установление границ рассмотрения предметной области;
2. Анализ основных рисков и уязвимостей информационной безопасности и
защиты информации на предприятии;
3. Определение возможностей вероятного нарушителя (как внутреннего, так и
внешнего) по воздействию на информационно-техническую систему
дополнительного офиса «Проспект мира» Публичного акционерного общества
«Промсвязьбанк» и ее элементы, а также выявления действующих каналов
проникновения технической разведки конкурентов;
4. Разработка комплекса организационных и инженерно-технических мер
обеспечения информационной безопасности и защиты информации позволяющего
устранить обнаруженные и действующие угрозы информационной безопасности;
5. Обоснование экономической эффективности проекта.
Актуальность выбранной темы заключается в высокой заинтересованности
криминальными структурами, недобросовестными конкурентами и мошенниками в
обладании информацией создаваемой, обрабатываемой и хранящейся в банковском
секторе Российской Федерации. В 2018 году Центр мониторинга и реагирования на
9
компьютерные атаки Банка России получил сведения о 687 кибератаках на банки, из
них 177 атак были целевыми атаками на кредитно-финансовые организации ради
финансовой выгоды. Также было совершено 97 DDoS-атак на финансовые
организации.
В прошлом году было зафиксировано 375 кампаний по распространению
вредоносного ПО, из которых 71 была нацелена на кредитно-финансовые
организации и их клиентов. По данным Центр мониторинга и реагирования на
компьютерные атаки Банка России хакерская группировка Cobalt нанесла ущерб
российской финансовой сфере минимум на 44 млн руб., а Silence – на 14,4 млн руб.
В 2017 г. ущерб от атак с использованием программ Cobalt Strike превысил 1 млрд
руб. За прошлый год мошенникам удалось похитить почти 1,4 млрд руб. с карт
граждан Российской Федерации, по данным ЦБ, это на 44% больше, чем годом
ранее. Большинство случаев хищения денег связано с социальной инженерией.
Также в соответствии с Федеральным законом от 29.12.2012 №275-ФЗ «О
государственном оборонном заказе»
1
Публичное акционерное общество
«Промсвязьбанк» выбрано в качестве опорного банка для реализации
государственного оборонного заказа и сопровождения крупных государственных
контрактов
2
, что в свою очередь вызывает интерес у иностранных спецслужб в
информации связанной с обслуживанием государственных контрактов в сфере
военно-промышленного и административного комплекса.
Помимо этого в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ
«О персональных данных» и Федеральным законом от 27.07.2006 N 149-ФЗ «Об
информации, информационных технологиях и о защите информации», Публичное
акционерное общество «Промсвязьбанк» обязано проводить мероприятия по защите
персональных данных, внутренней информации по счетам клиентов и оказываемым
им услугам и других конфиденциальных данных от утечки информации по
основным каналам.
Дополнительный офис «Проспект мира» является подразделением Публичного
акционерного общества «Промсвязьбанк» и предоставляет клиентам все основные
услуги банка. На территории дополнительного офиса «Проспект мира» развернута и
поддерживается инженерно-технической службой банка автоматизированная
система обработки информации, охватывающая территориально распределенные
подразделения Публичного акционерного общества «Промсвязьбанк».
10
Дополнительный офис «Проспект мира» Публичного акционерного общества
«Промсвязьбанк» располагается в здании по адресу: г. Москва, просп. Мира, д. 116а
Охрана здания, в котором располагается дополнительный офис «Проспект мира»
Публичного акционерного общества «Промсвязьбанк» осуществляется частным
охранным предприятием и Федеральное государственное казенное учреждение
«Управление вневедомственной охраны войск национальной гвардии Российской
Федерации по городу Москве».
Здание дополнительного офиса оборудовано системой пожарной сигнализации
и видеонаблюдения. Серверные помещения, в которых располагается серверное и
телекоммуникационное оборудование, оснащены системами пожарной и охранной
сигнализации, видеонаблюдения, кондиционирования и резервного электропитания.
Доступ посторонних лиц в данные помещения ограничен.
В настоящей дипломной работе рассматривается вопрос усовершенствования
комплекса организационных и инженерно-технических мер обеспечения
информационной безопасности на объекте.
Результаты работы будут переданы для изучения и оценки руководителю
дополнительного офиса «Проспект мира» Публичного акционерного общества
«Промсвязьбанк».
11
I. Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1. Общая характеристика предметной области
В настоящей выпускной квалификационной работе рассматривается вопрос
разработки комплекса организационных мер обеспечения информационной
безопасности и защиты информации на объекте расположения дополнительного
офиса «Проспект мира» являющегося структурным подразделением Публичного
акционерного общества «Промсвязьбанк».
Публичное акционерное общество «Промсвязьбанк» было основано 12 мая 1995
года в Москве в качестве отраслевого банка для активно развивавшихся на тот
момент предприятий связи. В настоящее время «Промсвязьбанк» является
универсальным банком, входит в десятку крупнейших банков России и в список
системно значимых кредитных организаций, утвержденный Центробанком
России
13
. В 2018 году «Промсвязьбанк» выбран в качестве опорного банка для
реализации государственного оборонного заказа и сопровождения крупных
государственных контрактов
1
. Клиентами банка являются 2,5 миллиона физических
и свыше 200 тысяч юридических лиц, в том числе более 10 тысяч крупных
корпоративных клиентов. Региональная сеть насчитывает около 300 офисов,
порядка 8 тыс. банкоматов (включая банкоматы банков-партнеров) и более 200
терминалов самообслуживания по всей России.
В 2019 году «Промсвязьбанк» получил награду «Лидер в онлайн-кредитовании
малого и среднего бизнеса» в рамках третьего ежегодного форума «FinSME-2019:
экосистемы и цифровизация», организованного аналитическим агентством
«БизнесДром» и деловым журналом «Банковское обозрение». Интернет-банк
Публичного акционерного общества «Промсвязьбанк» вошел в Топ-3 лучших
российских интернет-банков по уровню цифрового офиса, мобильный банк в Топ-
10 лучших на российском рынке для индивидуальных предпринимателей и
руководителей бизнеса по версии консалтингового агентства «Markswebb».
Публичное акционерное общество «Промсвязьбанк» заняло второе место по
объемам финансирования малого и среднего предпринимательства по итогам
первого полугодия 2019 года согласно рейтингу Ассоциации факторинговых
компаний, а во второй половине 2019 года «Промсвязьбанк» вошел в Топ-10
12
крупнейших российских банков по выдаче ипотечных кредитов согласно данным
«Русипотеки»;
Основными направлениями деятельности Публичного акционерного общества
«Промсвязьбанк» являются:
− Банковские услуги корпоративным клиентам: в том числе кредитование,
расчетные операции, факторинг, документарные операции, финансирование с
участием ЭКА, проектное финансирование, управление потоками денежных средств
и платежами, брокерские услуги на валютных рынках и рынках ценных бумаг, прием
депозитов;
− Банковское обслуживание малого и среднего бизнеса: в том числе
коммерческое кредитование, прием депозитов, расчетно-кассовое обслуживание,
включая выдачу векселей, денежные переводы, предоставление гарантий, а также
брокерские услуги на валютных рынках и рынках ценных бумаг;
− Розничные банковские услуги частным лицам: в том числе розничное
кредитование и прием депозитов у физических лиц (текущие счета и срочные
вклады), денежные переводы, выпуск банковских карт, расчетно-кассовое
обслуживание и валютные операции, управление денежными средствами через
удаленные каналы обслуживания;
− Инвестиционно-банковские и финансовые услуги: сделки на рынках заемного
капитала, в том числе их организация, андеррайтинг муниципальных и
корпоративных облигаций (таких как местные рублевые облигации, Евробонды,
кредитные ноты и векселя), торговля акциями и инструментами с фиксированной
доходностью, услуги по корпоративному финансовому консультированию,
брокерские услуги, сделки РЕПО, операции с драгоценными металлами, управление
активами и частное банковское обслуживание состоятельных клиентов.
Деятельность рассматриваемого предприятия характеризуется высоким
объемом потока внутренней информации – создаваемой, потребляемой и
распространяемой внутри автоматизированных систем подразделения и в бумажном
виде. Основной объем информации содержится в электронных массивах и базах
данных, письменных и электронных документах, а также различных файлах, не
предназначенных для передачи во внешнюю среду. Также осуществляется
постоянный обмен с каналами, составляющими внешнюю среду контрольной
13
информацией финансового, планового и отчетного характера, правовой и
нормативной информацией банка, другой внешней информацией, являющейся
продуктом деятельности организации.
Основными требованиями, предъявляемыми к информации, используемой в
дополнительном офисе «Проспект мира» Публичного акционерного общества
«Промсвязьбанк» являются:
− защищенность от несанкционированного доступа, искажения или
уничтожения информации, фигурирующей в компьютерных системах банка и
озвучиваемой при личных разговорах и переговорах по средствам связи с клиентами
или другими сотрудниками банка;
− сохранение целостности информации при выполнении каких-либо операций
над ней, гарантированность того, что данные не были изменены при их передаче,
хранении, обработке.
− достаточность состава информации для принятия решения. Недостаточная
или избыточная информация снижает эффективность принимаемых сотрудником
решений;
− истинность и точность информации, ее полное соответствие
действительности;
− адресность – предоставление информации исключительно сотрудникам,
работающим с ней и клиентам в интересах, которых производится хранение и
обработка указанной информации;
− корректность информации и ее соответствие внутренним требованиям
Публичного акционерного общества «Промсвязьбанк», нормативно-правовой и
законодательной базе Российской Федерации, международным требованиям,
договорам и стандартам;
− высокая скорость сбора, обработки и передачи информации для сотрудников
банка, непосредственно работающих с ней и клиентов в интересах которых
производится хранение и обработка указанной информации.
− понятность информации и ее воспринимаемость.
Процесс создания, хранения и обработки информации в дополнительном офисе
«Проспект мира» Публичного акционерного общества «Промсвязьбанк» связан со
следующими видами деятельности:
14
− работа с установочными данными и документацией физических лиц в
бумажном виде;
− создание типового запроса на внесение информации в базу данных
физических лиц, предоставление указанной категории клиентов услуг, проведение
операций по их счетам, изменение основной информации;
− работа в базе данных физических лиц с информацией о состоянии лицевых
счетов клиентов и предоставляемых им услугах, создание выписки и выгрузки из
базы;
− работа с установочными данными и документацией юридических лиц,
компаний и организаций в бумажном виде;
− создание типового запроса на внесение информации в базу данных
юридических лиц, предоставление указанной категории клиентов услуг, проведение
операций по их счетам, изменение основной информации;
− работа с информацией, составляющей корпоративную тайну компаний и
организаций-клиентов банка, создание выписки и выгрузки из базы данных
юридических лиц;
− ведение базы данных важных клиентов, представителей государственных
компаний, крупных инвесторов и предпринимателей, работа с их счетами,
изменение информации;
− создание и хранение рабочей документации с использованием бумажных
носителей информации;
− ведение переговоров по служебным вопросам с использованием средств
междугородной телефонной связи с клиентами банка или другими сотрудниками;
− обмен информацией с сотрудниками банка с использованием корпоративной
локально-вычислительной сети;
− обмен информацией с клиентами с помощью средств компьютерной связи;
− работа с информационными ресурсами сети «Интернет»;
− работа с маркетинговой информацией, привлечение новых клиентов с
использованием средств междугородной телефонной связи, ведение маркетинговой
базы;
− сбор, обработка и хранение информации в отношении компаний
занимающихся госзакупками, ведение базы данных по госконтрактам, работа со
15
специальными счетами.
В таблице 1 рассмотрены средние показатели месячного дохода и
обрабатываемой информации по основным видам деятельности, связанных с
процессом создания, хранения и обработки информации, а также влияние
сохранности циркулирующих в системе данных на репутацию банка.
Таблица 1
Основные характеристики видов деятельности, связанных с процессом
создания, хранения и обработки информации
№
п\п
Наименование вида
деятельности, связанного с
процессом создания,
хранения и обработки
информации
Средние показатели
обрабатываемой
информации в месяц
по указанному виду
деятельности
Средний месячный
доход от указанного
вида деятельности
Влияние сохранности данных
по указанному виду
деятельности на репутацию
банка
1.
Работа с установочными
данными и документацией
физических лиц в бумажном
виде.
Среднее месячное
количество клиентов,
предоставляющих
установочные данные –
9000.
Информация хранится
на бумажных
носителях.
Вид деятельности
является частью
процесса, средний
доход по отдельному
виду не установлен.
В соответствии с Федеральным
законом от 27 июля 2006 года
№152-ФЗ «О персональных
данных» защита персональных
данных клиентов является
обязанностью банка,
несоблюдение закона может
повлечь административную
ответственность и существенно
снизить уровень доверия к
банку.
2.
Создание типового запроса на
внесение информации в базу
данных физических лиц,
предоставление указанной
категории клиентов услуг,
проведение операций по их
счетам, изменение основной
информации.
Среднее месячное
количество клиентов,
пользующихся
услугами банка– 9000.
Средний размер
принимаемых и
передаваемых данных
при работе с одним
клиентом 90 мегабайт.
Средний размер потока
информации по
данному виду
деятельности –810000
мегабайт в месяц
Средняя цена
оказанных банком
услуг 1000 рублей на
одного клиента
Средний доход от
данного вида
деятельности 9000000
рублей в месяц
В соответствии с Федеральным
законом от 27 июля 2006 года
№152-ФЗ «О персональных
данных» защита персональных
данных клиентов является
обязанностью банка,
несоблюдение закона может
повлечь административную
ответственность и существенно
снизить уровень доверия к
банку.
3.
Работа в базе данных
физических лиц с
информацией о состоянии
лицевых счетов клиентов и
предоставляемых им услугах,
создание выписки и выгрузки
из базы.
Работа в режиме
онлайн, средний
трафик не известен
Вид деятельности
является частью
процесса, средний
доход по отдельному
виду не установлен.
Указанная информация
вызывает особый интерес у
злоумышленников
конкурентов банка. Является
особо важным объектом
деятельности банка. Утечка
указанной информации
приведет к резкому падению
рейтинга надежности банка, и
возможным искам со стороны
клиентов.
4.
Работа с установочными
данными и документацией
юридических лиц, компаний
и организаций в бумажном
виде.
Среднее месячное
количество
юридических лиц,
предоставляющих
Вид деятельности
является частью
процесса, средний
доход по отдельному
виду не установлен.
Данные отдельных
юридических лиц могут
заинтересовать конкурентов
клиента банка, их утечка может
привести к финансовым