96
Продолжение таблицы 21
Актив
Угроза
Величина потерь
(руб.)
Восстановление информации на плохо
уничтоженных бумажных носителях
R
i
= 10
(Si + Vi – 4)
=
10
(2+2-4)
= 0
Сотрудники дополнительного
офиса «Проспект мира»
Публичного акционерного
общества «Промсвязьбанк»
Не соблюдение сотрудниками мер информационной
безопасности при работе с документацией
R
i
= 10
(Si + Vi – 4)
=
10
(3+4-4)
= 1000
Не соблюдение сотрудниками мер информационной
безопасности при работе на средствах
вычислительной техники.
R
i
= 10
(Si + Vi – 4)
=
10
(3+4-4)
= 1000
Суммарная величина потерь
R = 102
Исходя из информации, указанной в настоящем разделе, можно провести анализ
динамики величины потерь за период двух лет. Результаты указаны в таблице .
Таблица 22
Оценка динамики величин потерь
1 кв.
2 кв.
3 кв.
1 год
1 кв.
2 кв.
3 кв.
2 год
До внедрения СЗИ
65000
130000
195000
230000
295000
360000
425000
460000
После внедрения СЗИ
25
50
75
100
200
400
800
2000
Снижение потерь
64925
129950
194925
229900
294800
359600
424200
459000
Исходя из информации, указанной в таблице … возможно определить срок
окупаемости системы. Эту процедуру можно выполнить аналитическим способом, с
использованием приведенной ниже формулы:
Т
ок
= R
∑
/ (R
ср
– R
прогн
) = 242990 / (230000-100) = 1,06
где (Т
ок
) - срок окупаемости системы, R
∑
- суммарное значение ресурса, выделенного
на защиту информации, R
ср
- объем среднегодовых потерь из-за инцидентов
информационной безопасности, R
прогн
- прогнозируемый ежегодный объем потерь.
Определение срока окупаемости проекта представлено в графическом виде на
рисунке 17.
97
Рис. 17. Динамика потерь
98
Заключение
В ходе выполнения выпускной квалификационной работы в первую очередь
была рассмотрена структура и основные направления деятельности Публичного
акционерного общества «Промсвязьбанк» и его дополнительного офиса «Проспект
мира». Также проведен анализ орагнизационно-штатной структуры подразделения,
его функциональные обязанности и имеющиеся информационные активы активы.
Далее был проведен анализ рисков безопасности информационных активов, в
ходе которого установлены основные уязвимости активов и угрозы исходящие от
внутренних и внешних нарушителей, а также от случайных и намеренных
непредвиденных действий, а также проведена оценка существующих средств
защиты и методов противодействия угрозам информации.
После изучения основных рисков был сформирован перечень основных задач,
выполнение которых направлено на обеспечения информационной безопасности и
защиты информации в дополнительном офисе «Проспект мира» Публичного
акционерного общества «Промсвязьбанк», а также представлено обоснование
необходимости совершенствования системы и места проектируемого комплекса
задач в комплексе задач предприятия.
В конце аналитической части проведен выбор организационных защитных мер
в ходе которого принято решение о создании инструкции по учету, хранению и
порядку уничтожения материалов на бумажных носителях информации, блокнотов,
рабочих тетрадей, а также порядок организации рабочего места, а также инструкции
по обеспечению информационной безопасности, при работе на средствах
вычислительной техники, а также предложена закупка дополнительного
периферийного устройства уничтожения документов и сейфов для их хранения.
Помимо этого принято решение о проведении инженерно-технических защитных
мер в части разработки более плотной схемы монтажа видеокамер, системы
виброакустического зашумления, системы звукового зашумления внутреннего
пространства граничащего с местами ведения важных переговоров, а также закупке
и установке на окнах жалюзи в целях противодействия сбору и обработке
визуальной информации.
В ходе проектирования программно-аппаратных средств обеспечения
информационной безопасности была разработана схема установки камер фирмы
99
Polyvision, модели PD-IP2-B2.8, позволяющая зафиксировать противоправные
действия на всей территории офиса. Проработаны предложения по установке на
окнах системы виброакустической защиты «Камертон-3» которая позволит
предотвратить снятие с окон акустической информации, обрабатываемой в банке, а
также установке в местах проведения переговоров и совещаний, связанных с
обработкой конфиденциальной информации системы маскировки акустической
информации АС-Ш.
В последней части выпускной квалификационной работы представлено
экономическое обоснование эффективности применения предложенных
организационных и инженерно-технических мер защиты информации, исходя из
которых можно сделать вывод об экономической эффективности проекта и его
окупаемости в максимально короткие сроки. Срок окупаемости первый квартал года
следующего за годом введения в эксплуатацию системы организационных и
инженерно-технических мер защиты информации. Стоит также отметить, что
шестьдесят процентов закупаемых в рамках проекта средств имеют срок службы
более 10 лет и по истечению этого срока не теряют своей актуальности. В случае
изменения политики информационной безопасности банка закупаемые активы
можно продать, вернув часть потраченных на них денег.
Таким образом можно считать, что основные цели выпускной
квалификационной работы, указанные в ведении выполнены:
1. Установлены границы рассмотрения предметной области;
2. Проведен анализ основных рисков и уязвимостей информационной
безопасности и защиты информации на предприятии;
3. Определены возможности вероятного нарушителя (как внутреннего, так и
внешнего) по воздействию на информационно-техническую систему
дополнительного офиса «Проспект мира» Публичного акционерного общества
«Промсвязьбанк» и ее элементы, а также выявления действующих каналов
проникновения технической разведки конкурентов;
4. Разработан комплекс дополнительных организационных и инженерно-
технических мер обеспечения информационной безопасности и защиты
информации позволяющий устранить обнаруженные и действующие угрозы
информационной безопасности;
100
5. Проведено экономическое обоснование эффективности применения
предложенных организационных и инженерно-технических мер защиты
информации.
101
Литература
1. Федеральный закон от 29.12.2012 № 275-ФЗ «О государственном оборонном
заказе»
2. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
3. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации,
информационных технологиях и о защите информации»
4. Федеральный закон от 07.07.2003 № 126-ФЗ «О связи»
5. Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»
6. Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской
Федерации»
7. Стандарт Федеральной службы безопасности Российской Федерации от 12
ноября 2018 г. № 33 СТО.ФСБ.КК 1-2018 «Компьютерная экспертиза. Термины и
определения»
8. Государственный стандарт Российской Федерации ГОСТ Р ИСО/МЭК 27005-
2010 «Информационная технология. Методы и средства обеспечения безопасности.
Менеджмент риска информационной безопасности»
9. Государственный стандарт Российской Федерации ГОСТ Р ИСО/МЭК 13335-
1-2006 «Информационная технология (ИТ). Методы и средства обеспечения
безопасности. Часть 1. Концепция и модели менеджмента безопасности
информационных и телекоммуникационных технологий.»
10. Государственный стандарт Российской Федерации ГОСТ 2.316-2008 «Единая
система конструкторской документации (ЕСКД). Правила нанесения надписей,
технических требований и таблиц на графических документах.»
11. Государственный стандарт Российской Федерации ГОСТ Р 6.30-2003
«Унифицированные системы документации. Унифицированная система
организационно-распорядительной документации. Требования к оформлению
документов»
12. Национальный стандарт Российской Федерации ГОСТ Р ИСО/МЭК 17799-2005
«Информационная технология. Практические правила управления информационной
безопасностью»
13. Указание Центрального банка Российской Федерации от 22.07.2015 № 3737-У
«О методике определения системно значимых кредитных организаций».
