65
8. «Регламент по физической защите технических средств
информационной системы»;
9. «Регламент по эксплуатации коммуникационного оборудования и
связи»;
10. «Требования к сторонним организациям по сохранению
конфиденциальности информации»;
11. «Классификатор информации»;
Все вышеуказанные документы в совокупности определяют политику
информационной безопасности организации. После разработки
организационных мер защиты будет начата разработка технических мер.
Технические меры защиты
Как и в любой комплексной системе защиты информации, для
ликвидации части угроз коммерческой безопасности предприятия (включая
угрозы безопасности коммерческой тайны предприятия) следует применять не
только организационные, но и технические меры обеспечения защиты.
В комплексной системе защиты коммерческой тайны и в качестве мер
обеспечения экономической безопасности Компании, разработанных для ООО
«Тавда» будут предлагается применять следующие технические меры защиты:
1. Установка на компьютеры Компании ПО для резервного копирования
информации
Данное прикладное программное обеспечение будет использоваться для
защиты от осуществления угроз:
умышленных и неумышленных действий, приводящих к частичному
или полному отказу системы или разрушению аппаратных, программных,
информационных ресурсов системы (удаление, искажение файлов с важной
информацией или программ, в том числе системных и т.п.);
умышленной и неумышленной порчи носителей информации;
потери информации в результате нештатных ситуаций.
В качестве ПО для резервного копирования информации, используемого
в системе защиты, использовать программное решений: Handy Backup
66
Сравнение характеристик данных программных решений приведено в
главе 2 данной работы.
2. Антивирусное ПО с отдельным сервером обновления
Для обеспечения надёжной защиты компьютеров Компании от заражения
компьютерными вирусами и прочим вредоносным ПО, следует заменить
устаревшее антивирусное ПО Компании на более новое с корпоративной
лицензией. Для обеспечения своевременного обновления антивирусных баз
следует сделать один из Компьютеров Компании сервером обновления баз
антивируса, что позволит осуществлять одновременное их обновления на всех
компьютерах Компании в чётко регламентированное время, что в свою очередь
позволит более чётко организовать процесс антивирусной защиты в Компании.
В качестве сервера обновления баз антивируса рекомендуется использовать один
из компьютеров в отделе ремонта и обслуживания.
В качестве антивирусного программного обеспечения рекомендуется
применить корпоративное решение Kaspersky Small Office Security от
«Лаборатии касперского».
3. Установка источников бесперебойного питания
Установка данного оборудования ликвидирует угрозу потери
информации в результате отключения или вывода из строя подсистем
обеспечения функционирования вычислительных систем (электропитания,
охлаждения и вентиляции, линий связи и т.п.).
В качестве источников бесперебойного питания, используемых в системе
защиты можно использовать Stark Country 6000
4. Доработка системы видеонаблюдения и установка комплекта
охранных извещателей, реагирующих на открытие дверей и заведённых на пульт
охраны
Установка данных средств защиты позволит службе охраны здания
своевременно реагировать на угрозы проникновения в помещения Компании, а
использование в системе видеонаблюдения видеорегистратора с жёстким диском
67
ещё и может помочь в расследовании инцидентов проникновения в помещения
Компании.
В качестве доработки системы видеонаблюдения, следует использовать
расположение видеокамер представленное на Рисунке 2.
Рисунок 2
С учётом ещё двух видеокамер, установленных владельцем здания и
расположенных коридоре, разделяющем арендуемые Компанией помещения,
данное расположение камер позволяет осуществлять качественное наблюдение
за защищаемыми помещениями.
Так как видеонаблюдение в помещениях необходимо вести в основном в
ночное время суток, то в качестве камер наблюдения использовать видеокамеры
68
оборудованные инфракрасной подсветкой Использование предложенного
решения применения видеокамер, позволит обеспечить своевременную
фиксацию факта наличия злоумышленника в помещении, а также отображение
на дисплее зоны наблюдения, в которую осуществлено несанкционированное
проникновение, что в свою очередь значительно уменьшит время реагирования
на факты незаконного проникновения в помещения Компании. Вместе с этим,
установка охранных извещателей, заведенных на пульт службы охраны здания и
реагирующих на открытие дверей, повысит вероятность своевременной реакции
на инцидент проникновения.
В качестве охранных извещателей, рекомендуется применить
магнитоконтактные извещатели, предназначенные для скрытого монтажа в
металлические двери. На рынке представлено множество охранных излучателей
данного вида и в силу малой стоимости, но при этом достаточной
эффективности, рекомендуется применить магнитоконтактные извещатели КСС
ИО-102-14.
5. Установка средства защиты от НСД на компьютеры предприятия
Средство от НСД, установленное на компьютеры предприятия, позволит
исключить несанкционированный доступ к информации, находящейся на
рабочих компьютерах. Для этого средство от НСД должно выполнять
следующий ряд функций:
осуществлять двухфакторную аутентификацию пользователей;
осуществлять разграничение прав доступа сотрудников к локальным
и сетевым ресурсам;
осуществлять разграничение прав доступа к сменным накопителям
для исключения утечки информации, составляющей коммерческую тайну
Компании;
осуществлять оперативный мониторинг и аудит действий
пользователей.
Все эти функции выполняет наиболее популярное на рынке решение -
Secret Net от компании ООО «Код Безопасности».
69
6. Установка межсетевого экрана
Применение данного средства защиты позволит предотвратить:
несанкционированное удалённое подключение (из сети Интернет) к
компьютерам в локальной сети предприятия;
использование сотрудниками предприятия, опасных интернет-
ресурсов, повышающих риск несанкционированного удаленного доступа к
компьютерам Компании.
Схематически корпоративная сеть предприятия с установленным
межсетевым экраном будет иметь вид, представленный на Рисунке 3.
Рисунок 3
Как видно из схемы, весь входящий и исходящий трафик из сети
Интернет будет проходить через межсетевой экран, являющийся фильтром,
отсеивающим нежелательные пакеты интернет-трафика, что позволит
70
обеспечивать более защищенное сетевое взаимодействие. В качестве
межсетевых экранов (МЭ) можно использовать МЭ серии продуктов ALTELL
NEO от компании «АльтЭль».
Таким образом, при внедрении в Компании, описанной в этой главе
комплексной системы коммерческой тайны, разработанное Положение о
коммерческой тайне ООО «Тавда» вместе с комплексом организационных и
технических мер, разработанных в рамках обеспечения комплексной защиты КТ
Компании, позволят обеспечить надёжную защиту сведений, составляющих
коммерческую тайну данного предприятия, что, как следствие повысит
экономическую безопасность Компании.
3.2 Выбор методики расчёта экономической эффективности.
Эффекти
вность — соотношение между полученным результатом и
использованными ресурсами. В нашем случае оценки потенциальной
целесообразности реализации проекта, т.е. проверки условия, согласно которому
совокупные результаты превышают затраты
«Результаты» и «затраты» являются важнейшими понятиями,
связанными с измерением экономической эффективности инвестиционных
проектов
Результаты отображают те глобальные задачи, которые должны быть
решены в инвестиционном проекте для достижения главной цели
экономического развития. Результаты напрямую связаны с преследуемыми
инвесторами целями, приходится иметь дело как с экономическими, так и
внеэкономическими результатами
Текущие затраты формируют себестоимость продукции (услуг)
Исходной посылкой при экономической эффективности является
очевидное предположение:
с одной стороны, при нарушении защищенности информации наносится
некоторый ущерб;
71
с другой - обеспечение защиты информации сопряжено с расходованием
средств.
Полная ожидаемая стоимость защиты может быть выражена суммой
расходов на защиту и потерь от ее нарушения.
Оптимальное решение в виде выделения на защиту информации средств,
минимизирующих общую стоимость работ по защите информации.
Также очевидно, что экономическая эффективность мероприятий по
защите информации может быть определена, через объем предотвращенного
ущерба, величину снижения риска для информационных активов организации.
Таким образом подсчитаем затраты на обеспечение защиты информации
на ООО «Тавда»:
Проведем оценку экономической эффективности внедрения системы по
обеспечению информационной безопасности. Экономический эффект от
внедрения систем защиты информации достигается за счет: сокращения
вероятности ущерба организации при возникновении инцидентов, связанных с
информационной безопасностью, снижение вероятных потерь от штрафных
санкций, связанных с неисполнением требований существующих нормативных
документов в указанной области.
На рисунке 4 приведена диаграмма основных подходов к оценке
экономического эффекта от внедрения системы информационной безопасности.
Рисунок 4
72
Основные сложности при оценке экономического эффекта от внедрения
систем информационной безопасности связаны с влиянием следующих факторов
[21]:
- подход, связанный с расчетом отношения доходов и расходов, не
отражает реальный эффект от внедрения решений в области информационной
безопасности, т.к. в данном случае не отсутствует выраженная зависимость
потока доходов от работы систем защиты информации;
- при использовании вероятностных и качественных методов невозможно
в полной мере охарактеризовать эффективность реализованной системы защиты.
В силу этого, использование подходов к оценке эффективности
комплексной системы защиты информации как самостоятельного ИТ-проекта не
позволяет в полной мере оценить эффект от внедрения решений по комплексной
системе защиты информации.
Альтернативный подход к оцениванию экономической эффективности
комплексных систем защиты информации предполагает вычисление
соотношения эффекта и затрат, также имеет множество вычислительных и
методических сложностей. Проблема заключается в том, что отсутствует единый
подход к расчету затрат. Также отсутствует единое понимание понятия эффекта
73
от использования комплексной системы защиты информации и порядка его
расчёта. Решение проблемы оценивания величины затрат, связанных с
проектированием и функционированием систем информационной безопасности
было предложено работе [23].
Эффект от использования средств защиты информации может
рассматриваться через оценку сумм предотвращенного ущерба, которая может
рассчитываться из стоимости потерь от простоя системы, или снижения уровня
ее производительности. вызванного инцидентами в области информационной
безопасности, стоимости работ по восстановлению работоспособности ИТ-
инфраструктуры, величины упущенной выгоды от простоя атакованных узлов
или сегментов. Указанный подход может использоваться при оценке размеров
ущерба ИТ-инфраструктуре компании от реализации атаки.
Однако, поскольку в компаниях используются значительные объёмы
программного и аппаратного обеспечения, то при использовании указанного
метода необходим учёт всех взаимосвязей между функционирующим
оборудованием ИТ-инфраструктуры и программными ресурсами, так как при
осуществлении атаки даже на незначительные сегменты ИТ-инфраструктуры
возможно выведение из строя всей сеть. Поэтому данную методику расчета
проще применять при условии успешности реализации внешней атаки и
принесенного ущерба её реализации, так как прогноз по количеству
оборудования и программных ресурсов, функциональность которых будет
нарушена, составить достаточно сложно.
В работе [27] расчет показателя ожидаемых потерь производится с учетом
вероятности реализации потенциальной угрозы с использованием соотношения:
LfА
рас
*
где Арас - величина ожидаемых расходов при успешной реализации
внешней атаки,
f - частота реализации потенциальных угроз за анализируемый временной
период,
L - размер потерь в денежном выражении.
74
Основной недостаток указанного подхода связан с необходимостью
расчета частоты реализации внешних угроз. Сложность решения данной задачи
обусловлена тем, что статистические данные по вероятности реализации угроз
накоплены при использовании системы защиты информации.
Также существует подход к оценке экономической эффективности через
расчет рисков, где эффективность выражается через соотношение стоимости
внедряемой системы к разности уровней рисков для незащищенной и
защищенной систем:
S
RR
Эф
ЗНЗ
где ЭФСЗИ – уровень эффективности системы защиты информации в
денежном выражении,
R
HC
– уровень риска для незащищенной сети,
R
З
– уровень риска для защищенной сети,
SСЗИ – стоимость системы защиты информации.
При этом каждая из указанных компонент предполагает необходимость
выявления потерь, обусловленных реализацией данной угрозы и их сокращения.
Данный подход является общеметодическим и не имеет механизмов
расчета, что предполагает невозможность его использования в указанной форме.
Выполненный анализ показывает что данные подходы не в полной мере
отражают сущность эффекта от внедрения системы комплексной системы
защиты информации и не учитывают специфики организации технологического
процесса и продукции исследуемой компании.
Таким образом, в каждом из перечисленных методов подразумевается
расчет потерь при успешности реализации внешних атак, но ни в одном из них
он не приведен. Поэтому при расчете эффективности функционирования
комплексных систем защиты информации в рамках данной работы предложено
учитывать особенности организации производственного процесса на
предприятии, что позволит частично использовать перечисленные выше методы
с их дальнейшей доработкой и приведет к возможности адекватной оценки
эффективности систем комплексной защиты информации.