76
II Проектная часть
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия.
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия.
Нормативные акты правового регулирования вопросов создания системы
обеспечения информационной безопасности и защиты информации предприятия в
Российской Федерации включают:
− Законы Российской Федерации
− указы Президента Российской Федерации и утверждаемые этими указами
нормативные документы
− постановления Правительства Российской Федерации и утверждаемые этими
постановлениями нормативные документы (Положения, Перечни и т.п.)
− государственные и отраслевые стандарты
− положения, порядки, руководящие документы и другие, нормативные и
методические документы уполномоченных государственных органов
(Гостехкомиссии России, ФАПСИ, ФСБ России).
В целях выполнения выпускной квалификационной работы использованы
следующие правовые и нормативно-правовые акты:
1. Федеральный закон от 27.07.2006 N 149-ФЗ «Об информации,
информационных технологиях и о защите информации». Настоящий Федеральный
закон регулирует отношения, возникающие при осуществлении права на поиск,
получение, передачу, производство и распространение информации;
2. Федеральный закон от 07.07.2003 N 126-ФЗ "О связи" устанавливает правовые
основы деятельности в области связи на территории Российской Федерации и на
находящихся под юрисдикцией Российской Федерации территориях, определяет
полномочия органов государственной власти в области связи, а также права и
обязанности лиц, участвующих в указанной деятельности или пользующихся
услугами связи.
3. Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных».
Настоящим Федеральным законом регулируются отношения, связанные с
обработкой персональных данных, осуществляемой федеральными органами
государственной власти, органами государственной власти субъектов Российской
77
Федерации, иными государственными органами (далее - государственные органы),
органами местного самоуправления, иными муниципальными органами (далее -
муниципальные органы), юридическими лицами и физическими лицами с
использованием средств автоматизации, в том числе в информационно-
телекоммуникационных сетях, или без использования таких средств, если обработка
персональных данных без использования таких средств соответствует характеру
действий (операций), совершаемых с персональными данными с использованием
средств автоматизации, то есть позволяет осуществлять в соответствии с заданным
алгоритмом поиск персональных данных, зафиксированных на материальном
носителе и содержащихся в картотеках или иных систематизированных собраниях
персональных данных, и (или) доступ к таким персональным данным.
4. ГОСТ Р ИСО/МЭК 13335-2006 «Информационная технология (ИТ).
Методы и средства обеспечения безопасности» Настоящий стандарт представляет
собой руководство по управлению безопасностью информационных и
телекоммуникационных технологий (ИТТ), устанавливает концепцию и модели,
лежащие в основе базового понимания безопасности ИТТ, и раскрывает общие
вопросы управления, которые важны для успешного планирования, реализации и
поддержки безопасности ИТТ. Целью настоящего стандарта является формирование
общих понятий и моделей управления безопасностью ИТТ.
5. Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»
устанавливает единые требования к бухгалтерскому учету, в том числе
бухгалтерской (финансовой) отчетности, а также создание правового механизма
регулирования бухгалтерского учета.
6. Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в
Российской Федерации» регулирует отношения в сфере организации хранения,
комплектования, учета и использования документов Архивного фонда Российской
Федерации и других архивных документов независимо от их форм собственности, а
также отношения в сфере управления архивным делом в Российской Федерации в
интересах граждан, общества и государства.
7. Государственный стандарт Российской Федерации ГОСТ 2.316-2008
«Единая система конструкторской документации (ЕСКД). Правила нанесения
надписей, технических требований и таблиц на графических документах.»
10
78
8. Государственный стандарт Российской Федерации ГОСТ Р 6.30-2003
«Унифицированные системы документации. Унифицированная система
организационно-распорядительной документации. Требования к оформлению
документов»
11
9. Национальный стандарт Российской Федерации ГОСТ Р ИСО/МЭК 17799-
2005 «Информационная технология. Практические правила управления
информационной безопасностью»
12
79
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия.
В данной главе проводится разработка проектов инструкции по учету, хранению
и порядку уничтожения материалов на бумажных носителях информации,
блокнотов, рабочих тетрадей, а также порядок организации рабочего места и
инструкции по обеспечению информационной безопасности, при работе на
средствах вычислительной техники.
В соответствии с ч. 1 ст. 7 Федерального закона от 06.12.2011 № 402-ФЗ
5
конкретные правила организации документооборота, места хранения первичных
документов разрабатываются экономическим субъектом самостоятельно,
утверждаются его руководителем и закрепляются в учетной политике. Сроки для
хранения документов компания также может утвердить самостоятельно.
Согласно п. 2 ст. 13 Федерального закона № 125-ФЗ
6
юридические лица вправе
создавать архивы в целях хранения образовавшихся в процессе их деятельности
архивных документов, в том числе в целях хранения и использования архивных
документов, не относящихся к государственной или муниципальной собственности.
Это значит, что создание архива является правом, но не обязанностью
экономических субъектов.
В настоящее время процедура уничтожения документов, не составляющих
архивный фонд организации не урегулирована в законах и нормативно-правовых
актах. Организация вправе самостоятельно разработать и утвердить порядок
уничтожения первичных документов. Способ уничтожения документов организация
определяет также самостоятельно (химическое уничтожение, сжигание,
измельчение (шредирование)).
Исходя из законодательства Российской Федерации порядок учета, хранения и
уничтожения документов разрабатываются организацией самостоятельно и
утверждаются руководителем. В целях предотвращения реализации угроз
несанкционированного доступа посторонних лиц к конфиденциальной информации,
кражи документов, а также возможность их умышленного или случайного
повреждения как внешними, так и внутренними нарушителями безопасности, проект
инструкции по учету, хранению и порядку уничтожения материалов на бумажных
80
носителях информации, блокнотов, рабочих тетрадей, а также порядок организации
рабочего места будет разрабатываться самостоятельно.
Проект инструкции по учету, хранению и порядку уничтожения материалов на
бумажных носителях информации, блокнотов, рабочих тетрадей, а также порядок
организации рабочего места указан в приложении 1.
В целях предотвращения нанесения ущерба банку при работе на средствах
вычислительной техники, инструкции по обеспечению информационной
безопасности, при работе на средствах вычислительной техники будет
разрабатываться самостоятельно.
Проект инструкции по обеспечению информационной безопасности, при работе
на средствах вычислительной техники указан в приложении 1.
81
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия.
2.2.1. Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия.
В целях разработки более плотной схемы монтажа видеокамер на объекте
расположения дополнительного офиса «Проспект мира» Публичного акционерного
общества «Промсвязьбанк» и обеспечения видеофиксации противоправных
действий предлагается провести монтаж дополнительных одиннадцати купольных
камер фирмы Polyvision, модели PD-IP2-B2.8 v.2.4.2
15
оборудованных инфракрасной
подсветкой. Данная модель была выбрана в связи с соответствием ее технических
параметров цели применения, а также относительно низкой цены и поддержкой
нужных интерфейсов и протоколов. Внешний вид камеры отображен на рисунке 9.
Технические характеристики камеры указаны в таблице 13
Рис.9.Внешний вид купольной камеры Polyvision модели PD-IP2-B2.8 v.2.4.2
Таблица 13
Технические характеристики Купольной IP-камеры с
фиксированным объективом фирмы Polyvision модели PD-IP2-B2.8 v.2.4.2
Деталь
Вид
Характеристика
Матрица
Тип
1/2.8" SmartSens CMOS (SC2235)
Система сканирования
Прогрессивная развёртка
Мин. чувствительность
Цвет: 0.01 люкс (F1.2, АРУ и ИК вкл.)
Ч/Б: 0.001 люкс (F1.2, АРУ и ИК вкл.)
Объектив
Тип
Фиксированный
Фокусное расстояние
2.8 мм (F2.0)
ИК-подсветка
Количество ИК-диодов
25 (Ø=5 мм)
Дальность
до 20 м
82
Продолжение таблицы 13
Деталь
Вид
Характеристика
Длина волны
850 нм
Цифровые
функции
DSP-процессор
Hisilicon Hi3516e v.100
Баланс белого
Авто (AWB)
Компенсация засветки
Настраивается (BLC)
Параметры изображения
Яркость, Насыщенность, Чёткость, Контраст
Функция день/ночь
Выбор режима (механический ИК-фильтр)
Шумоподавление
Настраивается (DNR)
Динамический диапазон
Настраивается (WDR)
Дополнительно
Зеркалирование, Детектор движения,
Маскирование, Антимерцание
Видео
Алгоритмы сжатия
H.264 и H.265
Основной поток
1080p @ 20 к/с, 720p @ 25 к/с
Субпоток
D1/CIF @ 25 к/с
Битрейт
Постоянный/Переменный (512 Кбит/с – 8 Мбит/с)
Сеть
Интерфейс
RJ-45, Ethernet 10/100 МБ
Протоколы
ONVIF, Cloud, TCP/IP, HTTP, DHCP, FTP, DDNS,
NTP, RTSP, SMTP, ARSP, UPnP
Удалённый доступ
Web-интерфейс, ПО для Windows, MacOS.
Эксплуатация и
хранение
Питание
DC 12В±10%
Энергопотребление
500 мА
Материал корпуса
Алюминий
Класс защиты
IP66
Температура эксплуатации
-40…+60°С
Максимальная влажность
95%
Габаритные размеры
98(Ø)х73 мм
Установка камер видеонаблюдения может производиться силами инженерно-
технических подразделений банка, а также представителями производителя
указанной аппаратуры. Закупка и применение дополнительного оборудования не
требуется, вывод сигнала будет произведен на уже имеющийся коммутатор.
Закрепление техники будет проведено за материально ответственным лицом из
состава инженерно-технической службы банка.
В целях предотвращения утечки информации, передаваемой в акустической
форме по виброакустическим каналам, предлагается на окнах дополнительного
офиса «Проспект мира» Публичного акционерного общества «Промсвязьбанк»
произвести монтаж системы виброакустической защиты «Камертон-3»
17
. Внешний
вид устройства представлен на рисунке 10.
83
Рис.10. Внешний вид системы виброакустической защиты «Камертон-3»
Основными достоинствами системы являются низкий уровень паразитного
шума на защищаемых объектах, небольшие массо-габаритные параметры, удобство
и легкость монтажа виброизлучателей и генератора с помощью специальных
креплений, малое энергопотребление и возможность автономного питания от
источника 12 В, возможность визуально контроля за исправностью и состоянием
работы генератора посредством использования ЖК-дисплея, большое количество
подключаемых виброизлучателей. Технические характеристики генератора
маскирующего шума и виброизлучателей входящих в систему виброакустической
защиты «Камертон-3» указаны в таблице 14
Таблица 14
Технические характеристики системы виброакустической защиты «Камертон-3»
Вид характеристики
Значение
Шумовой сигнал
аналоговый
Количество каналов
3 (2 вибро+1 аудио)
Полоса частот, Гц
90 - 11200
Регулировка уровня шумового сигнала
В каждом канале
Maксимальное количество подключаемых датчиков:
- легких виброизлучателей
30
- тяжелых виброизлучателей
15
- акустических излучателей
5
Энтропийный коэффициент качества
Не менее 0,95
84
Продолжение таблицы 14
Вид характеристики
Значение
Время непрерывной работы, ч
20
Масса, кг
0,5
Габариты, мм
154*84*38
Электропитание
Сеть 220В/50Гц, резерв. =15В
Основные технические характеристики виброизлучателей
Параметры
ВП-2
ВП-3
Полоса воспроизводимых частот, Гц
90-11200
Размах входного сигнала, не более, В
15
Эквивалентная емкость, нФ
30
22
Масса, кг
0,18
0,02
Габаритные размеры
диаметр:45мм;
высота:25мм.
диаметр:30мм;
высота:6,5мм.
Продолжительность непрерывной работы
Не ограничена
Состав системы виброакустической защиты «Камертон-3»:
− генератор маскирующего шума «Камертон-3»;
− блок питания 12В или источник бесперебойного питания 12В;
− виброизлучатели ВП-2«тяжелые» (универсальные),
− виброизлучатели ВП-3 «легкие» (оконные);
− акустические излучатели АС-Ш
Учитывая состав системы, применение виброакустической защиты «Камертон-
3», помимо решения задачи по предотвращению утечки информации по
виброакустическим каналам, позволит избежать утечки информации по
акустическим каналам, исходя из того что в состав системы входит акустический
излучатель АС-Ш
17
предназначенный для возбуждения маскирующих акустических
помех в различных закрытых пространствах. В рамках выполнения мероприятий по
обеспечению информационной безопасности на объекте, данный излучатель
предлагается установить на границе помещений, предназначенных для ведения
важных переговоров.
Таблица 15
Технические характеристики аудиоизлучателя АС-Ш.
Параметры
Значение
Полоса воспроизводимых частот, Гц
90-15000
Активное сопротивление, Ом
8
Мощность, Вт
3
Масса, кг
0,25
Габаритные размеры
110*65*60
Продолжительность непрерывной работы
Не ограничена
85
Исходя из легкости монтажа и эксплуатации комплекса, установка системы
виброакустической защиты «Камертон-3» и аудиоизлучателя АС-Ш может
производиться силами инженерно-технического подразделения банка. Закупка и
применение дополнительного оборудования не требуется. Закрепление техники
будет проведено за материально ответственным лицом из состава инженерно-
технической службы банка.
В целях предотвращения утечки информации по визуальным каналам, помимо
системы виброакустической защиты предлагается произвести монтаж на окнах
дополнительного офиса «Проспект мира» Публичного акционерного общества
«Промсвязьбанк» жалюзи Inspire 180х160 см
19
Для выполнения организационных мер обеспечения информационной
безопасности предлагается закупить в рамках офиса шкаф-сейф ПРАКТИК
SL 125/2Т
18
, изображен на рисунке11, исходя из расчета один сейф на два человека,
шкаф архивный ПРАКТИК АМ 1891
14
, изображен на рисунке 12, и уничтожитель
бумаги HSM ShredStar X6
16
, изображен на рисунке 13, исходя из лимитов один шкаф
и один уничтожитель бумаги на отдел. Указанный товар является лучшим в
категории цена/качество и соответствует всем требованиям предприятия. Всего
будет закуплено двенадцать шкафов-сейфов, три шкафа архивных и три
уничтожителя бумаги.
Рис.11. Шкаф-сейф ПРАКТИК SL 125/2Т