7
Оглавление
Введение ......................................................................................................................... 9
I Аналитическая часть ................................................................................................. 12
1.1. Технико-экономическая характеристика предметной области и предприятия
(установления границ рассмотрения) ........................................................................ 12
1.1.1. Общая характеристика предметной области .................................................. 12
1.1.2. Организационно-функциональная структура предприятия .......................... 13
1.2. Анализ рисков информационной безопасности ................................................ 19
1.2.1. Идентификация и оценка информационных активов .................................... 19
1.2.2. Оценка уязвимостей активов ............................................................................ 25
1.2.3. Оценка угроз активам ....................................................................................... 28
1.2.4. Оценка существующих и планируемых средств защиты .............................. 31
1.2.5. Оценка рисков .................................................................................................... 40
1.3. Характеристика совокупности задач, задачи и обоснование необходимости
усовершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ....................................................................... 42
1.3.1. Выбор комплекса задач обеспечения информационной безопасности ....... 42
1.3.2. Определение места проектируемой совокупности задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации .................................................................................................................. 45
1.4. Выбор защитных мер ........................................................................................... 47
1.4.1. Выбор организационных мер ........................................................................... 47
1.4.2. Выбор инженерно-технических мер ................................................................ 49
II Проектная часть ....................................................................................................... 55
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия .................................................. 55
2.2.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия ................................................................................................................. 55
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия ................... 62
8
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации ......................................... 80
2.2.1. Структура программно-аппаратного комплекса информационной
безопасности и защиты информации ........................................................................ 80
2.2.2. Контрольный пример реализации проекта и его описание ........................... 90
III Обоснование экономической эффективности проекта ....................................... 97
3.1. Выбор и обоснование методики расчёта экономической эффективности ..... 97
3.2. Расчёт показателей экономической эффективности проекта ........................ 100
Заключение ................................................................................................................. 104
Список использованной литературы ....................................................................... 107
Приложение 1. Регламент использования системы электронного
документооборота ..................................................................................................... 112
Приложение 2. Правила парольной защиты ........................................................... 119
Приложение 3. Правила защиты от вирусов и злонамеренного программного
обеспечения ................................................................................................................ 121
9
Введение
На сегодняшнее время информация является одним из основных ресурсов
каждой страны.
Нарастающее соперничество около информационного ресурса, состязание
за достижение превосходства в области информации начинает занимать очень
весомое место в геополитическом соперничестве наиболее развитых стран
планеты. В новейшем историческом этапе, когда экстенсивный рост за счет
получения новых ресурсов методом силового овладения территориями и всеми
богатствами соседних стран оказались неактуальными и малоэффективными,
поднялся вопрос о нахождении новых методов геополитической борьбы в сфере
информации.
Становиться понятным, что глобализация сферы информации
эффективной национальной системы обеспечения безопасности информации
становится очень влиятельным фактором в политике любого субъекта
геополитической борьбы. И, наоборот, неэффективная система безопасности
информации становится фактором, который может привести к
полномасштабным катастрофам, последствия этих катастроф могут вызывать
неорганизованность управления государствами и обрушение финансовых систем
стран.
Актуальной и очень важной задачей на сегодняшний день есть проблема
создания защищенных распределенных ИС и интегрированных сетей, которые
используют технологии защиты информации. Введение комплексных проектов
информатизации совместно с решениями по информационной безопасности дает
возможность увеличить прибыльность клиента и экономическую
эффективность.
Корпоративные системы и сети, которые внедрили на предприятия,
объективно ведут к росту стоимости информации, обрабатываемой и
хранящейся в них. Выполнение решений, которые обеспечивают безопасность
информационных ресурсов (неотъемлемых ресурсов для современного ведения
бизнеса), дает возможность увеличить эффективность всего процесса
информатизации и гарантировать целостность, подлинность и
10
конфиденциальность дорогой деловой информации, находящейся в локальных и
глобальных информационных средах. Наиболее лучшее применение
информационных технологий в сочетании с технологиями в области
информационной безопасности, есть важным стратегическим фактором
увеличения конкурентоспособности нынешних организаций и предприятий.
Основной идеей защиты информации как общественного явления является
установление и реализация организационных, морально-этических и нормативно
правовых взаимоотношений между людьми, которые обеспечивают
сбалансирование интересов человека, государства и общественности в сфере
информации.
Суть безопасности информации многие специалисты рассматривают как
исключение нанесения вреда защищаемому объекту, его работе или свойствам.
В главном документе в сфере защиты информации – Доктрине информационной
безопасности российской федерации – под безопасностью информации
понимается состояние защищенности ее национальных интересов в
информационной сфере, определяющихся совокупностью сбалансированных
интересов личности, общества и государства».
Объектом исследования в нашей работе выступает предприятие АО
«Авантел», предметом исследования - процесс организации разработки
организационно-технических решений по обеспечению защиты информации на
рабочих местах в корпоративной сети предприятия.
Целью данной работы является разработка политики информационной
безопасности корпоративной сети АО «Авантел».
Для достижения заданной цели необходимо выполнить ряд задач:
- провести техническую и экономическую характеристику предметной
области рассматриваемого предприятия;
- проанализировать риски информационной безопасности (ИБ)
предприятия;
- дать характеристику комплексу задач, задаче и обоснованию
необходимости в усовершенствовании системы обеспечения ИБ и защите
информации на рассматриваемом предприятии;
- произвести выбор защитных мероприятий;
11
- провести выбор комплекса организационных мероприятий по
обеспечению ИБ и защиты информации рассматриваемого предприятия;
- произвести выбор комплекса проектируемых аппаратных и программных
средств обеспечения ИБ и защиты информации на предприятии;
- обосновать экономическую эффективность разработанного проекта.
При написании проекта были применены такие методы научного
исследования, как изучение научной литературы по теме исследования,
нормативно-правовой базы, аналитический и сравнительный методы.
Эмпирической базой исследования стало изучение основных принципов
изучения методов изучения определения уязвимостей и угроз предприятия для
защиты информации от несанкционированного доступа.
Основой работы послужили различные источники информации по защите
компьютерных сетей. Это нормативные документы, периодические издания,
электронные ресурсы, научная и учебная литература как отечественных, так и
иностранных авторов [1-53].
12
I Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия (установления границ рассмотрения)
1.1.1. Общая характеристика предметной области
«АВАНТЕЛ» - многофункциональный оператор связи, имеющий опыт
работы на отечественном рынке телекоммуникаций с 2002 года. Компания
осуществляет полный диапазон работ - от проектирования и организации сетей
до оказания услуг связи последнего поколения. «АВАНТЕЛ» имеет филиалы в
таких городах как: Нижневартовск, Барнаул, Омск, Томск, Самара, Новосибирск,
Санкт-Петербург, Москва. Широкая география компании предоставляет
возможность включения в единую сеть офисов корпоративных клиентов в
различных регионах страны и создания для них единого информационного
пространства. АО «АВАНТЕЛ» применяет оборудование ведущих
производителей Siemens, Extreme Networks, Eaton, Juniper, Cisco, считается
официальным партнером Extreme Networks, Cisco Systems.
Клиентами «АВАНТЕЛА» являются » свыше 7 тысяч предприятий в
различных отраслях, среди них: «Эколайн», «Издательский дом «Бурда»,
Медицинский центр «Столица», », ГУЗ СО «Клинический центр клеточных
технологий», «БЕРГ Холдинг», », «Таможенно-транспортная компания Русь»,
«ДубльГИС», «АВИААГРЕГАТ», «ТД Северсталь-Инвест», «Интегра-Бурение»,
«РусГидро», «Мостотрест», «МосПромСтрой», «СИБУР Холдинг», Baker
Hughes, «Везерфорд Холдингз (РУС)», «РН-Снабжение», «РН-Информ», «БИН
Страхование», НПФ «Благосостояние», БИНБАНК, НОМОС-БАНК, Сбербанк
России.
Услуги:
- Телефония (номера, международная, междугородняя, местная связь,
услуга 8-800, IP телефония (Н.323, SIP), потоки E1);
- Интернет и передача данных (доступ в Интернет до 10 Гбит/с, Wi-Fi
(беспроводной интернет), выделение блоков IP, VPN (виртуальные частные
сети)), аренда каналов связи;
13
- Интеллектуальные услуги (виртуальные номера, виртуальный офис);
- Услуги дата - центра (регистрация и поддержка доменных имен:
электронная почта, размещение физических серверов клиента на технических
площадках «АВАНТЕЛ», хостинг);
- Цифровое телевидение (свыше 100 каналов, включая формат HD);
- Видеонаблюдение для офисов (IP, аналоговое, беспроводное);
- Проектировка и организация сетей (создание и утверждение проекта,
возведение волоконно-оптических линий (ВОЛС), поставка, монтаж и пуско-
наладка оборудования, строительство структурированных кабельных систем
(СКС)).
Главные показатели компании собраны в таблице 1.1.
Таблица 1.1
Основные показатели АО «Авантел»
№
п\п
Наименование характеристики (показателя)
Значение показателя на
определённую дату либо
за период
1
Исходящие документы
15000/год
2
Входящие документы
25000/год
3
Сотрудники
130 ч
1.1.2. Организационно-функциональная структура предприятия
Предприятие состоит из структурных подразделений (отделов) аппарата
предприятия (рис. 1.1).
Административно-хозяйственный отдел предприятия занимается
осуществлением хозяйственного и транспортного обслуживания предприятия.
Организационное, документационное, информационно-техническое
обеспечения деятельности предприятия осуществляют:
- Отдел предоставления услуг (отдел проектирования) осуществляет
контроль за качественной сохранностью материальных ценностей
материального резерва.
14
Руководитель
Зам.руководителя
Административно-
хозяйственный
отдел
Отдел кадров
Отдел предоставления
услуг (отдел
проектирования)
Отдел защиты
Отдел правовой и
экономической
безопасности
(Юридический)
Маркетинговый
отдел
Отдел
Бухгалтерского
учета и
отчетности
Отдел
финансово-
экономический
Отдел
эксплуатации
Рис. 1.1. Структура АО «Авантел»
- Отдел защиты предприятия осуществляет работы по организации
защиты информации содержащей сведения, составляющие государственную
тайну в соответствии с законодательством Российской Федерации.
- Отдел бухгалтерского учета и отчетности осуществляет организацию
бухгалтерского учета и отчетности на предприятии в соответствии с
требованиями Законодательстве и Положений о бухгалтерском учете и
отчетности и их совершенствование.
- Финансово-экономический отдел занимается планированием,
распределением доведенных до предприятия бюджетных ассигнований.
- Отдел правовой и экономической безопасности осуществляет
организацию взаимодействия с органами законодательной, исполнительной и
судебной власти по правовым вопросам деятельности предприятия. Занимается
защитой прав и законности интересов предприятия в судах, органах
государственной власти и предприятия, субъектов РФ, органах местного
самоуправления, на предприятиях, в учреждениях и организациях. Проводит
мероприятия по обеспечению экономической безопасности и противодействию
коррупции.
- Отдел кадров занимается работой с кадровым составам предприятия.
Заключение служебных контрактов, видение личных дел сотрудников.
Осуществляет прием граждан в установленном Администрацией Президента
15
Российской Федерации порядке. Занимается повышением квалификации
сотрудников.
- Отдел эксплуатации смотрит за состоянием продукции. В отделе
эксплуатации сидят инженеры и начальник отдела. Ниже по иерархии находятся
мастерские участки, находящиеся в подчинении у отдела эксплуатации.
- Маркетинговый отдел, занимающейся привлечением клиентов.
Единоличным исполнительным органом Учреждения является его
руководитель (далее - Руководитель). Руководитель назначается на свою
должность Учредителем. Главный бухгалтер назначается на должность
Руководителем Учреждения по согласованию с Учредителем. Управление
Учреждением осуществляется в соответствии с федеральными законами,
законами и иными нормативными правовыми актами города Москвы.
К компетенции Учредителя Учреждения относится:
- одобрение крупных сделок и сделок с особо ценным имуществом;
- формирование задания;
- утверждение плана финансово-хозяйственной деятельности Учреждения;
- создание, реорганизация и ликвидация Учреждения, а также изменение
его типа;
- утверждение Устава учреждения, внесение в него изменений и
дополнений;
- согласование создания и ликвидации обособленных подразделений -
филиалов Учреждения;
- согласование Положения о филиале Учреждения, внесения в него
изменений и дополнений;
- согласование перечня предоставляемых Учреждением услуг, порядка и
режима работы Учреждения;
- назначение на должность и освобождение от должности руководителя
Учреждения;
- заключение и расторжение с руководителем Учреждения трудового
договора, поощрение и применение к руководителю мер дисциплинарного
взыскания (привлечение к материальной ответственности) в соответствии с
Трудовым кодексом Российской Федерации;
16
- передача Учреждению в порядке, установленном действующим
законодательством, функций государственного заказчика на размещение заказов
на поставки товаров, выполнение работ и оказание услуг для государственных
нужд;
- осуществление контроля за целевым и эффективным использованием
финансовых средств, состоянием бюджетного учета в Учреждении;
- проведение в установленном порядке экономического анализа
деятельности Учреждения;
- осуществление контроля за деятельностью Учреждения и условиями -
доставления услуг, необходимых для реализации уставных целей;
- решение иных вопросов, предусмотренных федеральными законами,
законами и иными нормативными правовыми актами города Москвы.
К компетенции Руководителя Учреждения относятся вопросы
осуществления руководства деятельностью Учреждения, за исключением
вопросов отнесенных федеральными законами, законодательством города
Москвы к компетенции Учредителя Учреждения. Руководитель Учреждения
организует выполнение решений Учредителя по вопросам деятельности
Учреждения.
Руководитель Учреждения без доверенности действует от имени
Учреждения, в том числе:
- в соответствии с федеральными законами заключает гражданско-
правовые и трудовые договоры от имени Учреждения, утверждает структуру
и/или штатное расписание Учреждения (включая филиалы), утверждает
положения о филиалах Учреждения, должностные инструкции работников
Учреждения;
- представляет Учредителю на утверждение план финансово-
хозяйственной деятельности Учреждения;
- утверждает годовую и бухгалтерскую отчетность, внутренние документы
регламентирующие деятельность Учреждения; обеспечивает открытие лицевых
счетов в финансовых органах города Москвы, обеспечивает своевременную
уплату налогов и сборов в порядке и размерах, определяемых налоговым