55
могут быть использованы электронные проходные, системы контроля доступа и
реже домофоны.
3 Разработка комплексной системы защиты коммерческой
тайны ООО «Тавда»
3.1 Общая характеристика предприятия и описание его
информационной системы.
Общество с ограниченной ответственностью «Тавда» ведёт свою
коммерческую деятельность на территории города Владивостока с 2015 года. В
сферу деятельности ООО «Тавда» входят:
обслуживание и ремонт GPS навигаторов, спутниковых телефонов;
антенн;
выполнение контрактов на гарантийное обслуживание;
продажа GPS навигаторов и периферийного оборудования;
продажа спутниковых телефонов и аксессуаров к ним;
продажа морских радиостанции, антенн, GSM антенн и
комплектующие к ним.
Для ведения своей деятельности компания «Тавда» арендует 4
помещения на 5 этаже здания по адресу Русская 94а, вход людей в здание
осуществляется через контрольно-пропускной пункт, находящийся на 1-ом этаже
здания, в котором арендуются помещения. Контроль за соблюдением пропускного
режима и охрана помещений здания, в том числе помещений, арендуемых ООО
«Тавда», осуществляется частным охранным предприятием согласно договору с
владельцем здания в лице ООО ВЭЛЗ (Владивостокский электроламповый
завод).
Помещения, в которых размещается компания, состоят из:
56
1. офиса (помещение, разделенное стеклянным перегородками, в
котором располагаются отдел продаж, отдел по работе с персоналом,
финансовый отдел и кабинет руководителя);
2. мастерской со складом № 1 (здесь располагается отдел ремонта и
обслуживания;
3. склада № 2;
4. склада № 3.
Схема расположения помещений указана на Рисунке 1.
Рисунок 1.
В силу специфики деятельности предприятия, компания обладает
информацией, которую для обеспечения экономической безопасности
предприятия следует отнести к коммерческой тайне. К информации, которая в
ходе разработки комплексной системы защиты коммерческой тайны данного
предприятия будет включена в Перечень сведений, составляющих
коммерческую тайну Компании ООО «Тавда» относятся:
информация, позволяющая получить доступ к программному
обеспечению и компьютерной технике.
57
информация о видах и состоянии используемого программного
обеспечения.
сведения о системах внутренней безопасности и охраны.
сведения о структуре Предприятия, типе и размещении
оборудования, запасах товаров, материалов, комплектующих и другого
имущества Компании;
сведения о коммерческих связях Компании;
сведения о применяемых оригинальных методах управления
Компании, системах планирования и контроля;
сведения о размере и составе имущества Компании;
сведения о размере денежных средств Компании, имеющихся на
банковских счетах и в кассе, а также их движении;
сведения о системе социальной поддержки работников Компании и
ее размерах;
сведения о размере прибыли Компании;
сведения о планируемых инвестициях, закупках и продажах;
сведения о бизнес-планах Компании, планах развития отдельных
направлений, отраслей, подразделений;
сведения о применяемых оригинальных методах изучения рынка;
сведения о направлениях маркетинговых исследований, результатах
рыночной конъюнктуры;
сведения о применяемых оригинальных методах осуществления
продаж;
сведения об эффективности коммерческой деятельности Компании;
сведения о точках сбыта продукции Компании;
сведения о клиентах, партнерах, поставщиках;
сведения об условиях работы с клиентами;
сведения о товарообороте Компании, в т. ч. о размере ежегодной
выручки и о размере продаж за отдельный период;
58
сведения о наличии товарных запасов, об ассортименте товаров,
пользующихся повышенным спросом;
сведения о планируемых встречах с потенциальными партнерами,
поставщиками и т. п.;
ведения, составляющие коммерческую тайну контрагентов
Компании;
условия, тексты договоров о намерениях, коммерческих контрактов,
платежей и услуг;
сведения о кредитных, торговых, расчетных и иных обязательствах
Компании, вытекающие из заключенных Компанией договоров и действующего
законодательства РФ;
сведения о содержании гражданско-правовых договоров,
заключенных Компании, о ходе их исполнения;
сведения о методах расчета, о структуре, об уровне цен на
продукцию и о размерах скидки;
сведения о системах внутренней безопасности и охраны.
сведения о порядке и датах внутренних проверок.
сведения о результатах совещаний.
сведения о периодичности расчетов цен и их методике;
сведения о вложении средств в доходные активы (ценные бумаги), в
процентные облигации и займы, а также о средствах, внесенных в качестве
вкладов в уставный капитал других юридических лиц;
сведения о порядке и состоянии организации защиты коммерческой
тайны;
сведения, составляющие коммерческую тайну предприятий-
партнеров и переданные на доверительной основе Компании;
сведения о сотрудниках: домашние адреса, телефоны, места работы
и телефоны родственников, состав семьи; о руководителях фирмы, прямые
телефоны руководителей фирмы;
сведения о доходах работников Компании.
59
деловая переписка сотрудников
Для автоматизации деятельности предприятия, в каждом отделе
установлены компьютеры. В Компании существует своя локальная сеть, доступ
к которой имеют только служащие Компании, на каждом компьютере
предприятия имеется доступ к сети Интернет. Данная локальная сеть, вместе с
подключенными к ней компьютерами и сервером локальной сети, образуют
автоматизированную информационную систему предприятия.
Исходя из вышеперечисленных данных, основными объектами защиты
будут, являться:
компьютеры сотрудников Компании;
сервер локальной сети;
документы, содержащие сведения, составляющие коммерческую
тайну Компании;
помещения, в которых циркулирует информация, составляющая
коммерческую тайну Компании.
В ООО «Тавда» на момент написания выпускной квалификационной
работы уже задумались об обеспечении защиты своей ценной коммерческой
информации и назначили ответственного за информационную безопасность,
однако на тот момент из существующих мер обеспечения экономической
безопасности компании имелись только функционирующее на складах
видеонаблюдение и устаревшее антивирусное программное обеспечение,
установленное на компьютеры компании.
Компанию возглавляет руководитель предприятия, у которого имеется
заместитель. Руководитель Компании выполняет функции по планированию,
организации, руководству, координации и контролю деятельности предприятия.
Структуру предприятия формируют следующие отделы, каждый из
которых выполняет свои конкретные функции:
1. Отдел продаж:
поиск новых клиентов;
формирование клиентской базы;
60
заключение контрактов на обслуживание и ремонт;
заключение контрактов на поставку;
осуществление продаж;
подготовка отчётности;
разработка скидочных программ, специальных предложений;
прочая деятельность в пределах компетенции отдела.
2. Отдел по работе с персоналом:
подбор, обучение и распределение персонала;
учёт персонала и ведение работы с документацией сотрудников;
обеспечение прав, льгот и гарантий работников предприятия;
формирование предложений о поощрении сотрудников;
прочая деятельность в пределах компетенции отдела.
3. Финансовый отдел:
ведение управленческого учета деятельности компании,
формирование регулярной управленческой отчетности;
управление денежными потоками, регламентация процедур
осуществления платежей, контроль платежей в наличной и безналичной форме;
оперативный контроль финансовых ресурсов Компании;
организация и регламентация бюджетного управления в Компании;
разработка предложений по ценообразованию;
организация выплаты заработной платы работникам Компании;
прочая деятельность в пределах компетенции отдела.
4. Отдел ремонта и обслуживания:
выдача товара со складов Компании;
формирование базы данных товаров, имеющихся на складах;
фирменное обслуживание продаваемого оборудования, в том числе
в местах нахождения потребителей;
обеспечение документирования своих действий и решений;
61
составление заявок на необходимые ремонтные материалы и
инструменты;
формирование баз гарантийного и контрактного обслуживания GPS
навигаторов и периферийного оборудования;
прочая деятельность в пределах компетенции отдела.
Исходя из представленной структурной организации предприятия, видно,
что в каждом отделе Компании циркулирует информация, которая уже была
перечислена в пункте выше, и которую следовало бы отнести к коммерческой
тайне. Разобрав структуру Компании и определив, какая именно информация
циркулирует в каждом отделе, можно приступить к разработке комплексной
системы защиты коммерческой тайны данного предприятия.
Так как ООО «Тавда» является небольшим коммерческим предприятием,
то в данной ВКР будет пропущен этап технического проектирования
комплексной системы защиты коммерческой тайны. Таким образом, разработка
системы защиты начнется с организационных мер по установлению режима
коммерческой тайны и определения угроз защищаемой информации.
Организационные меры защиты
Как уже ранее описывалось в данной работе, разработка комплексной
системы защиты коммерческой тайны на предприятии всегда начинается с
введения на предприятии режима коммерческой тайны. Для этого после анализа
циркулирующей в отделах Компании информации, будет разработан и
утверждён проект Положения о коммерческой тайне ООО «Тавда», а также
будет составлен и утвержден Перечень сведений, составляющих коммерческую
тайну ООО «Тавда». Разработанное положение определяет:
порядок отнесения сведений к коммерческой тайне;
перечень сведений, составляющих коммерческую тайну;
обязательства работника;
порядок допуска к коммерческой тайне;
порядок прекращения допуска к коммерческой тайне;
ответственность за разглашение коммерческой тайны.
62
Текст положения и перечень сведений, составляющих коммерческую
тайну ООО «Тавда», приведены в приложениях А и Б, приложений к ВКР.
После установления режима коммерческой тайны, следующим этапом
разработки комплексной системы защиты коммерческой тайны ООО «Тавда»,
будет выявление угроз экономической безопасности предприятия. Список
выявленных угроз приведён в Таблице 5.
Таблица 5
Возможные угрозы
Средства для уменьшения
количества уязвимостей и
ликвидации угроз (снижения
степени ущерба от них)
Основные непреднамеренные искусственные угрозы
Неумышленные действия,
приводящие к частичному или
полному отказу системы или
разрушению аппаратных,
программных, информационных
ресурсов системы (удаление,
искажение файлов с важной
информацией или программ, в том
числе системных и т.п.).
Неумышленная порча носителей
информации
ПО для резервного копирования
информации
Заражение компьютеров Компании
вирусами
Антивирусное ПО с отдельным
сервером обновления
Неосторожные действия персонала,
приводящие к разглашению
сведений составляющих КТ
предприятия, или делающие данные
сведения общедоступными
Утверждение инструкций по работе
со сведениями, составляющими КТ
(внедрение Политики ИБ)
Игнорирование организационных
ограничений (установленных
правил) при работе в системе
Контроль за соблюдением правил
работы с защищаемой информацией
и привлечение к ответственности за
ее нарушение (внедрение Политики
ИБ)
Некомпетентное использование,
настройка или неправомерное
отключение средств защиты
персоналом
Утверждение Должностной
инструкции системного
администратора по
информационным технологиям (IT-
специалист)
Неумышленное повреждение
каналов связи
Прокладка линий связи в кабель-
каналах
Основные преднамеренные искусственные угрозы
63
Умышленные действия, приводящие
к частичному или полному отказу
системы или разрушению
аппаратных, программных,
информационных ресурсов системы
(удаление, искажение файлов с
важной информацией или программ,
в том числе системных и т.п.).
Умышленная порча носителей
информации
ПО для резервного копирования
информации
Отключение или вывод из строя
подсистем обеспечения
функционирования вычислительных
систем (электропитания,
охлаждения и вентиляции, линий
связи и т.п.)
Установка источников
бесперебойного питания
Несанкционированный доступ в
помещения предприятия (в том
числе в ночное время) с целью
совершения кражи носителей
информации, хищения со складов
товаров и комплектующих для
обслуживания оборудования или
других незаконных действий, прямо
или косвенно наносящих
экономический ущерб Компании
Введение пропускного режима и
организация охраны помещений
(осуществляется охранным
предприятием по договору с
владельцем здания). Доработка
системы видеонаблюдения и
установка комплекта охранных
извещателей, реагирующих на
открытие дверей и заведённых на
пульт охраны
Несанкционированный доступ к
информации, находящейся на
рабочих компьютерах
Установка средства защиты от НСД
на компьютеры предприятия
Несанкционированный доступ к
компьютерам, находящимся в
корпоративной сети предприятия.
Использование сотрудниками
предприятия, опасных интернет-
ресурсов, повышающих риск
несанкционированного удаленного
доступа к компьютерам Компании
Установка межсетевого экрана
Естественные угрозы
Пожары
В помещениях компании
установлена охранно-пожарная
сигнализация и разработана
Инструкция по пожарной
безопасности
Нештатные ситуации (прорыв трубы,
протечка крыши).
Разработка Инструкции по технике
безопасности. Разработка
Инструкции по действиям в
нештатных ситуациях. Обеспечение
резервного копирования
информации (ПО для резервного
копирования информации)
64
Для ликвидации (уменьшения негативных последствий от реализации)
выявленных угроз и для обеспечения соблюдения режима коммерческой тайны
Компании в качестве организационных мер защиты будет разработана и
утверждена Политика безопасности ООО «Тавда», цель разработки которой
будет направлена на достижение экономически целесообразной нейтрализации
угроз в области информационной безопасности предприятия.
Данная политика будет регламентировать деятельность в области:
классификации и контроля информационных ресурсов;
оценки и управления ИТ–рисками;
обеспечения безопасности изменений ИТ–инфраструктуры;
управления доступом к информационным системам;
обеспечения безопасности информационных систем и приложений;
обеспечения безопасности эксплуатации ИТ;
обеспечения специальной технической защиты (физической
безопасности);
обеспечение непрерывности бизнес-процессов;
проведения ИТ–аудитов.
В целях осуществления данной деятельности, в Политике будут четко
прописаны требования к компонентам информационной системы, а также к
компонентам системы защиты данной системы. Кроме того, в политике будут
прописаны инструкции, регламентирующие работу с системой на каждом этапе
её использования. Список данных инструкций (регламентов) включает:
1. «Регламент предоставления доступа к прикладным учетным
информационным ресурсам»;
2. «Положение по разработке и внедрению ПО»;
3. «Регламент по использованию и лицензированию ПО»;
4. «Регламент по антивирусной защите»;
5. «Протокол разграничений полномочий и ответственности»;
6. «Регламент по эксплуатации ПК»;
7. «Регламент по настройке ПК пользователей»;