6
Оглавление
Введение ..................................................................................................................................................8
1 Аналитическая часть ................................................................................................................... 10
1.1 Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения). .......................................................................................... 10
1.1.1 Общая характеристика предметной области. ........................................................... 10
1.1.1 Организационно-функциональная структура предприятия. ................................... 10
1.2 Анализ рисков информационной безопасности ..................................................................7
1.2.1 Идентификация и оценка информационных активов. ................................................7
1.2.2. Оценка уязвимостей активов ................................................................................. 14
1.2.3. Оценка угроз активам .................................................................................................3
1.2.4. Оценка существующих и планируемых средств защиты ....................................6
1.2.5. Оценка рисков ........................................................................................................... 13
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты
информации на предприятии ......................................................................................................... 16
1.3.1. Выбор комплекса задач обеспечения информационной безопасности ........... 16
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации ................................................................................................................................ 23
1.4 Выбор защитных мер .......................................................................................................... 34
1.4.1. Выбор организационных мер .................................................................................. 34
1.4.2. Выбор инженерно-технических мер ...................................................................... 40
2 II Проектная часть ....................................................................................................................... 51
2.1 Комплекс организационных мер обеспечения информационной безопасности и
защиты информации предприятия................................................................................................. 51
2.1.1 Отечественная и международная нормативно-правовая основа создания системы
обеспечения информационной безопасности и защиты информации предприятия............. 51
2.1.2 Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия ................................... 60
2.2 Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ....................................... 70
2.2.1 Структура программно-аппаратного комплекса информационной безопасности и
защиты информации предприятия ............................................................................................. 71
2.2.2 Контрольный пример реализации проекта и его описание ..................................... 76
3 Обоснование экономической эффективности проекта ............................................................ 84
3.1 Выбор и обоснование методики расчёта экономической эффективности .................... 84
3.2 Расчёт показателей экономической эффективности проекта ......................................... 90
7
Заключение .......................................................................................................................................... 98
Список использованной литературы ............................................................................................... 103
Приложение 1. План расположения кабельных трасс и оборудования ....................................... 105
Приложение 2. Технические характеристики элементов СКУД «Elsys»..................................... 106
8
В
ведение
Б
езопасность предприятия – это состояние его защищенности от
различных видов угроз и готовность к их предотвращению. Угрозы эти могут
иметь различное происхождение, но все они приводят, в конечном счете, к
финансовым потерям и убыткам.
Каждое предприятие сталкивается в своей работе с различными
факторами, которые влияют как на физическую, так и на финансовую
безопасность. Например, для любой без исключения организации актуальна
проблема трудовой дисциплины. Опоздания, прогулы, ранние уходы и
отсутствие сотрудников на местах в рабочее время ведут к необоснованным
выплатам зарплаты, снижению возможной прибыли, а также негативно
сказываются на имидже предприятия. Другой распространенной проблемой на
производстве является воровство. Руководитель любого завода может привести
массу примеров, связанных с хищениями продукции, ценных материалов,
инструмента, деталей оборудования.
Не менее важна защита предприятия от криминальных элементов,
проникающих на территорию с различными целями – начиная от сговора с
охраной для организации крупного хищения и заканчивая попытками влияния на
политику предприятия, в том числе незаконными методами.
Если здания и помещения предприятия до сих пор не оснащены
средствами пожарной сигнализации и противопожарной защиты, то следует это
сделать. Помимо того, что наличие противопожарных систем является
обязательным требованием для всех объектов, эти системы позволяют
существенно сократить возможные убытки, а также предотвратить гибель людей
от пожара.
Наконец, если предприятие относится к категории особой важности,
повышенной опасности и жизнеобеспечения, то необходимо защищаться и от
возможных террористических угроз. К сожалению, диверсии и
террористические акции на промышленных объектах имеют место быть, хотя
эти данные редко попадают в открытую печать.
9
Безопасность предприятия, завода или любого другого объекта
реализуется только комплексом мер, в который входят как организационные
решения, так и обоснованное применение технических (программных и
аппаратных) систем безопасности.
Целью настоящей работы является разработка комплексной системы
безопасности для «Avto-Matrix», объектом исследования – информационные
ресурсы и информационная система данного предприятия. Исходя из цели
дипломной работы определены следующие задачи:
• исследование текущего состояния информационной безопасности
предприятия, том числе программных, аппаратных и технических способов и
средств;
• определение необходимости разработки комплексной системы
информационной безопасности;
• определение структуры такого комплекса;
• анализ и выбор технологий для разработки комплексной системы
информационной безопасности;
• разработка элементов политики безопасности как организационной
составляющей комплекса защиты информации;
• определение конкретных административно-организационных ,
программных и инженерно-технических средств по обеспечению
информационной безопасности;
• определение методики для расчета возможной экономической
эффективности разработанного комплекса и расчет показателей.
10
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения).
1.1.1 Общая характеристика предметной области.
ИП "Аслаповский Ян Станиславович" (Далее – Avto-Matrix) – компания,
которая занимается розничными и оптовыми продажами автомобильных
ключей. Наши мастера осуществляют программирование и профессиональную
нарезку ключей. В своей работе мы используем оборудование только от лучших
производителей. Нашими поставщиками являются ведущие заводы из Европы и
Китая. Мы всегда рады видеть, как оптовых, так и розничных покупателей.
Количественно–стоимостные оценки деятельности «Avto-Matrix» указаны
в таблице 1.1.
Таблица 1.1
Количественно–стоимостные оценки деятельности компании
№ п/п
Наименование показателя
Ед. изм.
1
-3 кв.
2016 г.
1
-3 кв.
2017 г.
Отклонение
Абсолютн
+,
-
Темп
роста,
%
1
Объем реализации услуг
т. руб
.
79510
83502
3992
105
2
Численность работающих
чел.
129
130
1
10
3
Производительность труда 1-го
работающего
т. руб
.
2092
1740
-
353
83
4
Фонд заработной платы
персонала
т. руб
.
10368
11096
728
107
5
Среднегодовая зарплата 1-го
работающего
т. руб
.
273
231
-
42
85
6
Себестоимость услуг и
продукции
т. руб
.
73120
75942
28
22
104
1.1.1 Организационно-функциональная структура предприятия.
Организационно «Avto-Matrix» состоит из следующих структурных
звеньев (рисунок 1.1)
3
Генеральный
директор
Финансовый
отдел
Отдел кадров Call-center ИТ-
отдел
Юридический
отдел
Отдел продаж
Сервисный центр
Отдел закупок
Отдел маркетинга
и рекламы
Бухгалтеры - 5
Менеджеры - 8
Менеджеры
- 10
Юрисконсульты
- 4
Менеджеры -
10
Инспекторы - 6
Специалисты -
5
Инженеры -
9
Специалисты -6
Рисунок 1.1 Организационная структура «Avto-Matrix»
4
Деятельностью управляет генеральный директор, он же определяет
основные направления развития.
Генеральный директор решает вопросы изменения устава, утверждает
годовые результаты деятельности, а также решает вопросы по ликвидации и
реорганизации фирмы. Работников фирма набирает с биржи труда в соответствии с
их квалификацией и разрядом. Также возможно привлечение молодых сотрудников
с незаконченным высшим или средним специальным образованием для
прохождения практики. Взаимоотношения генерального директора с
подчиненными, охрана труда, социальное развитие регулируется
законодательством РФ.
Отдел по продажам один из самых главных в компании. В функции
подчиненных этого отдела входит: обслуживание входящих и исходящих звонков,
оказание коммерческих услуг, обеспечение выполнения условий, предусмотренных
заключенными соглашениями, сопровождение клиента.
В должностные обязанности сотрудника этого отдела входит:
• поиск потенциальных клиентов;
• ведение коммерческих переговоров с клиентами в интересах
организации;
• оперативное реагирование на информацию, поступающую от
клиентов, и доведение ее до сведения начальника отдела;
• выяснение потребностей клиентов в услугах, реализуемой фирмой, и
согласование заказа с клиентом в соответствие с его потребностями;
• мотивация клиентов на работу с фирмой.
• составление ежемесячного плана продаж;
• анализ статистических данных продаж клиентов Фирмы;
• предоставление отчетов по итогам в работы в соответствии с
регламентом работы отдела и фирмы.
• обеспечение маркетинговых исследований предоставленного сегмента
рынка по изучению спроса на услуги компании, уровень цен у конкурентов,
перспектив развития рынка.
• участие в составлении прогнозов.
5
Сотрудники отдела кадров должны выполнять поиск новых сотрудников по
запросам из каждого подразделения компании, а также вести учет личной и
служебной информации о всех сотрудниках «Avto-Matrix» и другой важной
информации. Оформление всех документов на прием или увольнение, ведется в
этом же подразделении.
Главной задачей финансового отдела является ведение бухгалтерского учета
имущества, обязательств и хозяйственных операций, своевременное и достоверное
отражение результатов финансово-хозяйственной деятельности компании. В своей
работе сотрудники бухгалтерии руководствуются действующими
законодательными актами РФ, инструкциями, приказами, распоряжениями,
правилами, Политикой в области качества и др. документами, утвержденными
Генеральным директором, регламентирующими работу бухгалтера.
Сотрудники юридического отдела выполняют проверку всех акций или
мероприятий, проводимых в компании, для установления из законности по
правовым аспектам законодательства РФ.
Call-центр является подразделением, основная функция которого направлена
на синхронное обслуживание значимого числа телефонных вызовов клиентов
компании.
Все звонки, как правило, распределяют на исходящие (outbound) и входящие
(inbound). Входящие звонки осуществляют клиенты для получения информации,
рассказа о проблемах или для получения пояснений по его проблеме. Эти звонки
значительно разнятся от исходящих звонков, в которых агенты звонят возможным
клиентам в основном с намерениями продажи услуг.
Основными задачами отдела информационных технологий являются
создание и техническое обслуживание локальных вычислительных сетей (ЛВС),
администрирование сетевого и общесистемного программного обеспечения,
ведение архива технической, справочной и нормативной документации.
Отдел осуществляет свою деятельность:
• в интересах подразделений «Avto-Matrix» для обеспечения
выполнения стоящих перед ними задач;
• в интересах сторонних организаций на договорной основе на объектах
заказчика.
6
Основными функциями отдела являются:
• инженерные изыскания, разработка рабочих проектов на размещение
комплексов технических средств ЛВС;
• поставка, монтаж, наладка и ввод в эксплуатацию комплексов
технических средств ЛВС;
• техническое сопровождение комплексов технических средств ЛВС
(ремонт, наращивание, модернизация);
• установка, настройка и оперативное устранение сбоев в работе
сетевого и общесистемного программного обеспечения на серверных станциях
(почтовых серверах, серверах доменов) и компьютеризированных рабочих местах
ЛВС;
• обслуживание комплекса программно-технических средств для
предоставления доступа к информационным ресурсам и услугам сети Интернет;
• обеспечение защиты информации с использованием программно-
технических средств разграничения доступа;
• эксплуатация и техническое обслуживание копировально-
множительной техники, оргтехники;
• поддержание в рабочем состоянии комплекса средств автоматизации
стенда главного конструктора для проведения приемо-сдаточных мероприятий и
презентаций прикладных программно-информационных средств;
• закупка средств вычислительной техники, сетевого оборудования,
лицензионного программного обеспечения;
• обеспечение учета, хранения, обращения и тиражирования
документации;
• подготовка и хранение инсталляционных пакетов прикладных
программно-информационных средств на компактных дисках;
• взаимодействие с заказчиком на всех этапах работ;
• планирование деятельности для выполнения поставленных перед
отделом задач.
В отделе выполняются мероприятия по улучшению качества выполняемых
работ:
7
• изучение и внедрение передового опыта и современных достижений в
области информационных технологий и вычислительной техники;
• обучение и повышение профессиональной квалификации работников;
• разработка, изучение и выполнение положений и требований
нормативных документов, в том числе по системе менеджмента качества (СМК);
• соблюдение трудовой дисциплины;
• выполнение норм и правил охраны труда и техники безопасности.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов.
Ключевым элементом риска является актив, подверженный этому риску.
Риски информационной безопасности обусловлены наличием у организации
информационных активов. К информационным активам относится любая
информация, представляющая ценность для организации. Они включают в себя
информацию, напечатанную или записанную на бумаге, пересылаемую по почте
или демонстрируемую в видеозаписях, передаваемую устно, информацию,
хранимую в электронном виде на серверах, веб-сайтах, мобильных устройствах,
магнитных и оптических носителях и т.п., информацию, обрабатываемую в
корпоративных информационных системах и передаваемую по каналам связи, а
также программное обеспечение: операционные системы, приложения, утилиты,
программную документацию и т.п.
Помимо информации организация располагает и другими видами
материальных и нематериальных активов, которые она использует для достижения
своих бизнес-целей. Это имущество организации, имущественные и
неимущественные права, интеллектуальная собственность, кадровые ресурсы, а
также имидж и репутация организации. Современные международные стандарты
также определяют еще одну категорию активов – это процессы, а также
информационные и неинформационные сервисы. Это агрегированные типы
активов, которые оперируют другими активами для достижения бизнес-целей.
Виды активов организации
• материальные;
• финансовые;