86
Рис.12. Уничтожитель бумаги HSM ShredStar X6
Рис.13. Шкаф архивный ПРАКТИК АМ 1891
Таблица 16
Технические характеристики уничтожителя бумаги HSM ShredStar X6
Характеристика
Показатель
Одновременно листов, до
7
Тип резки
фрагменты
Размер фрагментов
3×10 мм
Средняя скорость
2.22 м/мин
Ширина загрузочного слота
224 мм
Емкость корзины
21 л
87
Продолжение таблицы 16
Характеристика
Показатель
Класс секретности
уровень 4
Уровень секретности по DIN 66399
P-5
Уровень шума
58 дБ
Переработка скрепок
есть
Переработка степплерных скоб
есть
Переработка кредитных карт
есть
Переработка CD и DVD
есть
Размеры (ШхВхГ)
366×445 × 235 мм
88
2.2.2. Контрольный пример реализации проекта и его описание.
В целях усовершенствования системы инженерно-технической защиты
информации и обеспечения информационной безопасности представлена схема
расположения усовершенствованной системы видеонаблюдения на объекте
расположения дополнительного офиса «Проспект мира» Публичного акционерного
общества «Промсвязьбанк», при которой максимально проработана возможность
видеофиксации противоправных действий внешних и внутренних нарушителей
безопасности. Схема разработанной системы видеонаблюдения указана на рисунке
14
Рис.14. Схема разработанной системы видеонаблюдения
Изменение имеющегося режима работы системы видеонаблюдения, порядка
материальной ответственности, а также процесса обслуживания и эксплуатации
видеооборудование считается нецелесообразным.
Разработанная схема применения и установки системы акустического и
виброакустического зашумления, а также средств противодействия утечки
информации по визуальным каналам указана на рисунке 15 Доступ к системе
89
виброакустической защиты «Камертон-3» производится из кабинета руководителя
офиса. Функции по установке и обслуживанию системы, а также ежемесячной
проверке работоспособности возлагаются на инженерно-техническое подразделение
банка. Эксплуатацией средств виброакустического излучения и аудиоизлучателей
производится руководителем офиса, либо наиболее подготовленными сотрудниками
с его разрешения. Использование системы подобным образом позволит полностью
перекрыть визуальный, акустический и виброакустический каналы утечки
информации.
Рис.15. Разработанная схема противодействия утечки информации по акустическим,
виброакустическим и визуальным каналам.
Установка личных сейфов сотрудников и уничтожителей бумаги не имеет
территориальной привязки к помещению конкретного отдела, установка возможна в
соседних помещениях. В то же время установка архивных шкафов производится на
территории контролируемых помещений, защищенных системой контроля
управления доступом. Разработанная схема установки сейфов и уничтожителей
бумаги указана на рисунке 16
90
Рис.16. Схема установки сейфов и уничтожителей бумаги
91
III Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчёта экономической эффективности
В данном разделе проводится анализ соотношения стоимости реализации
введения представленных во второй части работы организационных и технических
мер обеспечения информационной безопасности по отношению к ущербу
принесенному банку при реализации угроз информационной безопасности.
Экономическая эффективность мероприятий по защите информации может быть
определена, через объем предотвращенного ущерба или величину снижения риска
для информационных активов организации.
Основными установочными данными для определения экономической
эффективности реализации мероприятий по обеспечению информационной
безопасности являются:
− ожидаемые потери при нарушении защищенности информации,
информация указана в таблице 3;
− уровень защищенности информации при реализации мероприятий по
защите информации (реализация мер, указанных в проектной части работы,
предотвращает возможность возникновения угроз);
− перечень угроз информации, установленный в первой главе выпускной
квалификационной работы;
− размеры затрат, необходимых для нейтрализации каждой из угроз.
Поскольку оптимальное решение вопроса о целесообразном уровне затрат на
защиту состоит в том, что этот уровень должен быть равен уровню ожидаемых
потерь при нарушении защищенности, достаточно определить только уровень
потерь.
Для определения уровня затрат, обеспечивающих требуемый уровень
защищенности информации, возможно использование следующей эмпирической
зависимости ожидаемых рисков от угрозы информации:
R
i
= 10
(Si + Vi – 4)
,
где Ri –уровень затрат, обеспечивающих требуемый уровень защищенности
информации, S
i
– коэффициент, характеризующий возможную частоту
возникновения соответствующей угрозы, Vi – коэффициент, характеризующий
значение возможного ущерба при ее возникновении.
92
Определение значений коэффициентов S
i
и
Vi, проводится в соответствии с
данными, приведенными в таблице 17
Таблица 17
Значения коэффициентов S
i
и
Vi
Ожидаемая (возможная)
частота появления угрозы
Предполагаемое значение S
i
Почти никогда
0
1 раз в 1 000 лет
1
1 раз в 100 лет
2
1 раз в 10 лет
3
1 раз в год
4
1 раз в месяц (примерно, 10 раз в год)
5
1-2 раза в неделю (примерно 100 раз в год)
6
3 раза в день (1000 раз в год)
7
Значение возможного ущерба
при проявлении угрозы, руб.
Предполагаемое значение Vi
30
0
300
1
3 000
2
30 000
3
300 000
4
3 000 000
5
30 000 000
6
300 000 000
7
Суммарная стоимость потерь определяется формулой:
R=
где R - суммарная стоимость потерь, N – количество угроз информационным
активам, Ri –уровень затрат, обеспечивающих требуемый уровень защищенности
информации
Величина потерь от реализации угрозы информационной безопасности и
суммарная величина потерь от всех угроз указана в таблице 18
Таблица 18
Величины потерь для критичных информационных ресурсов
до модернизации системы защиты информации
Актив
Угроза
Величина потерь
(руб.)
Данные записанные на
бумажных носителях
информации
Кража носителей информации
R
i
= 10
(Si + Vi – 4)
=
10
(4+4-4)
= 10000
Намеренное повреждение или
уничтожение
R
i
= 10
(Si + Vi – 4)
=
10
(5+4-4)
= 100000
Несанкционированное использование
носителей данных
R
i
= 10
(Si + Vi – 4)
=
10
(5+4-4)
= 100000
=
N
i
Ri
1
93
Продолжение таблицы 18
Актив
Угроза
Величина потерь
(руб.)
Восстановление информации на плохо
уничтоженных бумажных носителях
R
i
= 10
(Si + Vi – 4)
=
10
(4+4-4)
= 10000
Среда и инфраструктура здания,
системы обеспечения
информационной безопасности
Отсутствие средств противодействия
технической разведке, а также негласному
сбору и перехвату оптической и акустической
информации
R
i
= 10
(Si + Vi – 4)
=
10
(5+5-4)
= 1000000
Блокноты и рабочие тетради
Кража блокнота или рабочей тетради
R
i
= 10
(Si + Vi – 4)
=
10
(4+4-4)
= 10000
Использование незарегистрированных
блокнотов и рабочих тетрадей
R
i
= 10
(Si + Vi – 4)
=
10
(3+4-4)
= 1000
Восстановление информации на плохо
уничтоженных бумажных носителях
R
i
= 10
(Si + Vi – 4)
=
10
(3+4-4)
= 1000
Сотрудники дополнительного офиса
«Проспект мира» Публичного
акционерного общества
«Промсвязьбанк»
Не соблюдение сотрудниками мер
информационной безопасности при работе с
документацией
R
i
= 10
(Si + Vi – 4)
=
10
(5+4-4)
= 100000
Не соблюдение сотрудниками мер
информационной безопасности при работе на
средствах вычислительной техники.
R
i
= 10
(Si + Vi – 4)
=
10
(5+5-4)
= 1000000
Суммарная величина потерь
R= = 230000
=
N
i
Ri
1
94
3.2 Расчёт показателей экономической эффективности проекта
В целях определения показателей экономической эффективности проекта
необходимо определить основные ресурсы необходимые для реализации проектов,
разработанных в ходе выполнения выпускной квалификационной работы. Наиболее
общей формой представления ресурса является денежная мера.
Ресурс, выделяемый на защиту информации, может иметь разовый и постоянный
характер. Разовый ресурс расходуется на закупку, установку и наладку
дорогостоящей техники. Постоянный ресурс выделяется на заработную плату
сотрудникам службы безопасности и поддержание определенного уровня
безопасности, прежде всего, путем эксплуатации технических средств и контроля
эффективности защиты.
Для определения экономической эффективности системы защиты информации
предприятия необходимо уточнить расходы на создание системы и поддержание её
в работоспособном состоянии, а также величину потерь при реализации угроз
информационным активам после модернизации системы защиты информации.
Содержание и объем разового ресурса, выделяемого на защиту информации
указан в таблице 19
Таблица 19
Содержание и объем разового ресурса, выделяемого на защиту информации
Организационные мероприятия
№
п\п
Выполняемые действия
Стоимость,
единицы (руб.)
Кол-во
(ед.измерения)
Стоимость,
всего (руб.)
1.
Покупка и доставка сейфов-шкафов
ПРАКТИК SL 125/2Т на объект.
7900
12
94800
2.
Покупка и доставка архивных шкафов
ПРАКТИК АМ 1891 на объект.
8300
3
24900
3.
Покупка и доставка уничтожителей
бумаги HSM ShredStar X6 на объект.
16700
3
50100
Стоимость проведения всех организационных мероприятий
169800
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура ПиАСИБ, расходных
материалов
Стоимость,
единицы (руб)
Кол-во
(ед.измерения)
Стоимость,
всего (руб.)
1.
Камера Polyvision PD-IP2-B2.8
3100
11
34100
2.
Система виброакустической защиты
«Камертон-3»
30000
1
30000
3.
Жалюзи Inspire 180х160 см алюминий
цвет белый
1010
9
9090
Стоимость проведения мероприятий инженерно-технической защиты
73190
Объем разового ресурса, выделяемого на защиту информации
242990
95
Содержание и объем разового ресурса, выделяемого на защиту информации
указан в таблице 20. Для выполнения комплекса организационных мероприятий
постоянного выделения ресурсов на защиту информации не требуется
Таблица 20
Содержание и объем постоянного ресурса, выделяемого на защиту информации
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура ПиАСИБ,
расходных материалов
Стоимость,
единицы
(руб./мес.)
Кол-во
(ед.измерения)
Стоимость,
всего (руб./мес.)
1.
Эксплуатация камеры Polyvision
PD-IP2-B2.8
50
11
550
2.
Эксплуатация системы
виброакустической защиты
«Камертон-3»
100
1
100
3.
Покупка и доставка
уничтожителей бумаги HSM
ShredStar X6 на объект.
100
3
300
Стоимость постоянного выделяемого ресурса (руб./мес.)
950
Для проведения расчета необходимо получить прогнозируемые данные о
величине потерь (рисков) для критичных информационных ресурсов после
внедрения/модернизации системы защиты информации. Результаты формируются
по результатам экспертного опроса и вносятся в таблицу 21.
Таблица 21
Величины потерь для критичных информационных ресурсов
После модернизации системы защиты информации
Актив
Угроза
Величина потерь
(руб.)
Данные записанные на
бумажных носителях
информации
Кража носителей информации
R
i
= 10
(Si + Vi – 4)
=
10
(3+2-4)
= 10
Намеренное повреждение или уничтожение
R
i
= 10
(Si + Vi – 4)
=
10
(2+2-4)
= 0
Несанкционированное использование носителей
данных
R
i
= 10
(Si + Vi – 4)
=
10
(2+3-4)
= 10
Восстановление информации на плохо
уничтоженных бумажных носителях
R
i
= 10
(Si + Vi – 4)
=
10
(2+2-4)
= 0
Среда и инфраструктура
здания, системы обеспечения
информационной
безопасности
Отсутствие средств противодействия технической
разведке, а также негласному сбору и перехвату
оптической и акустической информации
R
i
= 10
(Si + Vi – 4)
=
10
(2+2-4)
= 0
Блокноты и рабочие тетради
Кража блокнота или рабочей тетради
R
i
= 10
(Si + Vi – 4)
=
10
(2+2-4)
= 0
Использование незарегистрированных блокнотов и
рабочих тетрадей
R
i
= 10
(Si + Vi – 4)
=
10
(2+2-4)
= 0