17
законодательством Российской Федерации, представляет в установленном
порядке статистические, бухгалтерские и иные отчеты;
- подписывает правовые акты и иные локальные акты Учреждения, выдает
доверенности на право представительства от имени Учреждения, в том числе
доверенности с правом передоверия, издает приказы и распоряжения, дает
поручения и указания, обязательные для исполнения всеми работниками
Учреждения;
- в соответствии с федеральными законами определяет состав и объем
сведений составляющих служебную тайну, а также устанавливает порядок ее
защиты и обеспечивает его соблюдение;
- обеспечивает соблюдение законности в деятельности Учреждения,
организовывает работу и обеспечивает эффективное взаимодействие филиалов
Учреждения;
- осуществляет иные полномочия, связанные с реализацией его
компетенции в соответствии с законодательством Российской Федерации;
Руководитель Учреждения обязан:
1) обеспечивать выполнение задания в полном объеме;
2) обеспечивать постоянную работу над повышением качества
вставляемых Учреждением государственных и иных услуг, выполнением работ;
3) обеспечивать составление и выполнение в полном объеме плана
финансово-хозяйственной деятельности Учреждения в соответствии с порядком,
определенным Учредителем.
4) обеспечивать составление отчета о результатах деятельности
Учреждения и об использовании закрепленного за ним на праве оперативного
управления имущества в соответствии с требованиями, установленными
Учредителем;
5) обеспечивать целевое и рациональное использование бюджетных
средств в том числе субсидий на оказание услуг (выполнение работ), субсидий
на иные цели, и соблюдение Учреждением финансовой дисциплины в
соответствии с федеральными законами;
6) обеспечивать исполнение договорных обязательств по выполнению
работ, оказанию услуг;
18
7) принимать меры по недопущению возникновения просроченной
кредиторской задолженности Учреждения;
8) обеспечивать сохранность, рациональное использование имущества,
закрепленного на праве оперативного управления за Учреждением;
9) обеспечивать своевременную выплату заработной платы работникам
Учреждения, а также принимать меры по повышению размера заработной платы
работникам Учреждения;
10) согласовывать с Учредителем в случаях и в порядке, установленном ,
федеральными законами и законами города Москвы, нормативными правовыми
актами Правительства Москвы, настоящим Уставом, распоряжение недвижимым
имуществом и особо ценным движимым имуществом Учреждения, в том числе
передачу его в аренду, безвозмездное пользование, заключение иных договоров,
осматривающих переход прав владения и (или) пользования в отношении
Государственного имущества, закрепленного за Учреждением на праве
оперативного управления, а также осуществлять его списание;
11) предварительно согласовывать с Учредителем в порядке, им
установленном, совершение Учреждением крупных сделок;
12) согласовывать с Учредителем совершение сделок с участием
Учреждения, в совершении которых имеется заинтересованность;
13) согласовывать с Учредителем в случаях и в порядке, установленном
легальными законами, законами города Москвы, правовыми актами
Правительства Москвы, Уставом, внесение государственным Учреждением
города Москвы денежных средств (если иное не установлено условиями их
предоставления), иного имущества, за исключением особо ценного движимого
имущества, а также недвижимого имущества, в уставный (складочный) капитал
хозяйственных обществ или передачу им такого имущества иным образом в
качестве их учредителя или участника;
14) согласовывать с Учредителем в случаях и в порядке, установленном
федеральными законами, законами города Москвы, правовыми актами
Правительства Москвы, Уставом, создание и ликвидацию филиалов, открытие и
закрытие представительств Учреждения;
19
15) обеспечивать раскрытие информации об Учреждении, его
деятельности закрепленном за ним имуществе в соответствии с требованиями
федеральных законов;
16) обеспечивать соблюдение Правил внутреннего трудового распорядка и
трудовой дисциплины работниками Учреждения;
17) обеспечивать соблюдение требований по охране и безопасности труда,
принимать необходимые меры по соблюдению в Учреждении правил техники
безопасности и требований федеральных законов по защите жизни и здоровья
работников Учреждения;
18) обеспечивать наличие мобилизационных мощностей и выполнение
требований по гражданской обороне;
19) выполнять иные обязанности, установленные федеральными законами,
законами и иными нормативными правовыми актами города Москвы, Уставом
Учреждения, а также решениями Учредителя.
1.2. Анализ рисков информационной безопасности
1.2.1. Идентификация и оценка информационных активов
Ресурсы информации должны идентифицироваться как массивы и базы
данных, документы и массивы документов и так далее, учитывая выявленные
сведения о их использованию и владению.
Выделим характеристики применения:
- в прикладных сервисах автоматизированных систем и
автоматизированных задачах функциональных подсистемах, решение которых
невозможно без информации из этих объектов информации;
- в служебных подразделениях, автоматизированные задачи которых
решаются в их же интересах;
- в удаленных объектах информации;
Уровень конфиденциальности – это основной характеристический
показатель ОИ.
20
Распределение информационных активов по категориям – это очень
нужное составляющее организации работы по соблюдению безопасности
информации предприятия, целями которого есть:
- проектирование нормативно-методической составляющей для
разностороннего подхода к защите ресурсов автоматизированных систем
предприятия;
- разработка решений по обеспечению организационных мер и
распределению аппаратных и программных средств по защите для
разнообразных типов рабочих станций автоматизированной системы
предприятия.
Активы предприятия можно разделить на две категории:
- аппаратные ресурсы;
- информационные ресурсы.
Чтобы выделить активы информации как исходные данные применяются:
список сведений составляющих ведомственную, государственную и
коммерческую тайны; список источников информации на предприятии.
Структурирование информации осуществляется способом классификации
информации по структуре, функциям и задачам предприятия с привязкой
компонентов информации к ее источникам.
Конфиденциальной информацией считаются:
сведения о клиентах предприятия;
сведения о деятельности предприятия;
сведения о системе безопасности предприятия;
служебная информация о финансовом положении предприятия;
переговоры с клиентами.
В таблице 1.2 приводится перечень активов, которые подлежат защите.
В таблице 1.3 приводится список сведений конфиденциального характера
предприятия.
21
Таблица 1.2
Оценка информационных активов предприятия
Вид
деятельности
Наименование
актива
Форма
предоставле
-
ния
актива
Владелец
актива
Критерии
определения
стоимости
Размерность
оценки
Кол.оц
ен-ка
(руб)
Кач.
оценка
Основная
деятель-
ность
Уставы и
юридические
дела
предприятия
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
Финансовый
успех,
репутация
80000
Критич.
Основная
деятель-
ность
Отчетные
документы об
оказании услуг
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии
Финансовый
успех,
репутация
75000
Высок.
Основная
деятель-
ность
Договоры об
оказании услуг
Документ на
бумажном
носителе Эл.
документ на
ЖМД
Руководитель,
юрисконсульт,
сотрудники
Финансовый
успех,
репутация
55000
Средн.
Основная
деятель-
ность
Уставы и
юридические
дела
предприятия
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
Финансовый
успех,
репутация
80000
Критич.
Основная
деятель-
ность
Отчетные
документы об
оказании услуг
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии
Финансовый
успех,
репутация
75000
Высок.
Основная
деятель-
ность
Договоры об
оказании услуг
Документ на
бумажном
носителе Эл.
документ на
ЖМД
Руководитель,
юрисконсульт,
сотрудники
Финансовый
успех,
репутация
55000
Средн.
Основная
деятель-
ность
Платежные
поручения
Документ на
бумажном
носителе
Электронный
документ на
ЖМД
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии
Финансовый
успех,
репутация
79000
Высок.
Деятель-
ность по
управле-
нию
персона-
лом
Персональ-ные
данные
сотрудников
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии,
сотрудники
административног
о отдела
Финансовый
успех,
репутация
70000
Высок.
22
Продолжение таблицы 1.2
Вид
деятельности
Наименование
актива
Форма
предоставле
-
ния
актива
Владелец актива
Критерии
определения
стоимости
Размерность
оценки
Кол.оц
ен-ка
(руб)
Кач.
оценка
Обеспе-
чение
информа-
ционной
безопас-
ности
компании
Имена
пользовате-лей
и пароли
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии,
сотрудники
административног
о отдела
Финансовый
успех,
репутация
90000
Критич.
Обеспечени
е информа-
ционной
безопас-
ности
компании
Система охраны
компании
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии,
сотрудники
админисьративног
о отдела
Финансовый
успех,
репутация
50000
Средн.
Обеспе-
чение
информа-
ционной
безопас-
ности
компании
Сведения о
применяемых
средствах
обеспечения ИБ
Документ на
бумажном
носителе
Электронный
документ на
ЖМД
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии,
сотруднки
административног
о отдела
Финансовый
успех,
репутация
63000
Высок.
Внутрен-
няя
деятель-
ность
компании
Планы и
стратегия
развития
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии,
сотрудники
административног
о отдела
Финансовый
успех,
репутация
10000
Критич.
Внутрен-
няя
деятель-
ность
компании
Внутренняя
финансовая
документация
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии,
финансового
отдела,
административног
о отдела
Финансовый
успех,
репутация
69000
Высок.
Внутрен-
няя
деятель-
ность
компании
Сведения о
достигнутых
соглашениях и
договорен-
ностях
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
бухгалтерии
Финансовый
успех,
репутация
95000
Критич.
Внутрен-
няя
деятель-
ность
компании
Планы встреч и
поездок
руководства
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
Финансовый
успех,
репутация
98000
Критич.
23
Продолжение таблицы 1.2
Вид
деятельности
Наименование
актива
Форма
предоставле
-
ния
актива
Владелец актива
Критерии
определения
стоимости
Размерность
оценки
Кол.оц
ен-ка
(руб)
Кач.
оценка
Внутрен-
няя
деятель-
ность
компании
Сведения о
кредитно-
инвестиционной
деятельности
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
финансового
отдела
Финансовый
успех,
репутация
53000
Средн.
Внутрен-
няя
деятель-
ность
компании
Сведения о
планируемых
переговорах с
партнерами
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
Финансовый
успех,
репутация
73000
Высок.
Внутрен-
няя
деятель-
ность
компании
Планирование
развития и
открытия
магазинов
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
Финансовый
успех,
репутация
56000
Средн.
Внутрен
няя
деятель-
ность
компании
Ценовая
политика
компании
Документ на
бумажном
носителе
Электронный
документ на
ЖМД, Персонал
Руководитель,
юрисконсульт,
сотрудники
Финансовый
успех,
репутация
77000
Высок.
Таблица 1.3
Список сведений, носящих конфиденциальный характер АО «Авантел»
№
п/
п
Наименование
сведений
Гриф
конфиден-
циальности
Нормативный документ, реквизиты,
№№ статей
1.
Уставы и
юридические дела
предприятий
Конфиден-
циально
Указ Президента РФ от 6 марта 1997
года № 188, ФЗ РФ от 29 июля 2004 г.
N 98-ФЗ О коммерческой тайне, ФЗ РФ
от 27 июля 2006 г. N 149-ФЗ "Об
информации, информационных
технологиях и о защите информации"
Указ Президента РФ от 06.03.1997 №
188 (ред. от 23.09.2005) «Об
утверждении Перечня сведений
конфиденциального характера»
2.
Система охраны
Строго
конфиде-
нциально
ФЗ РФ от 29 июля 2004 г. N 98-ФЗ О
коммерческой тайне
24
Продолжение таблицы 1.3
№
п/
п
Наименование
сведений
Гриф
конфиден-
циальности
Нормативный документ, реквизиты,
№№ статей
3.
Документы счета-
фактуры
Конфиден-
циально
ФЗ РФ от 29 июля 2004 г. N 98-ФЗ О
коммерческой тайне
Указ Президента РФ от 06.03.1997 №
188 (ред. от 23.09.2005) «Об
утверждении Перечня сведений
конфиденциального характера»
4.
Договоры об
оказании услуг
Конфиден-
циально
ФЗ РФ от 29 июля 2004 г. N 98-ФЗ О
коммерческой тайне
Указ Президента РФ от 06.03.1997 №
188 (ред. от 23.09.2005) «Об
утверждении Перечня сведений
конфиденциального характера»
5.
Платежные
поручения
Особо
конфиден-
циально
ФЗ РФ от 27 июля 2006 г. N 149-ФЗ
"Об информации, информационных
технологиях и о защите информации",
ФЗ РФ от 29 июля 2004 г. N 98-ФЗ О
коммерческой тайне
6.
Имена
пользователей и
пароли
Строго
конфиден-
циально
ФЗ РФ от 27 июля 2006 г. N 149-ФЗ
"Об информации, информационных
технологиях и о защите информации"
7.
Уставы и
юридические дела
предприятия
Конфиден-
циально
ФЗ РФ от 27 июля 2006 г. N 149-ФЗ
"Об информации, информационных
технологиях и о защите информации"
Указ Президента РФ от 06.03.1997 №
188 (ред. от 23.09.2005) «Об
утверждении Перечня сведений
конфиденциального характера», ГК
РФ, статья 139.
Федеральный закон "О компаниях и
банковской деятельности" от
02.12.1990 N 395-1
8.
Персональная
информация о
сотрудниках
Строго
конфиден-
циально
З РФ от 27 июля 2006 г. N 152-ФЗ "О
персональных данных" Указ
Президента РФ от 06.03.1997 № 188
(ред. от 23.09.2005) «Об утверждении
Перечня сведений конфиденциального
характера»;
В таблице 1.4 приведены активы, обладающие наибольшей ценностью и
по этой причине избранные как объект защиты информации.
25
Таблица 1.4
Итоги ранжирования активов
Наименование актива
Ценность актива (ранг)
Финансовые отчеты компании
5
Персональные данные сотрудников
5
Система обеспечения безопасности
компании
5
Сведения о схемах размещения систем
безопасности
4
Маркетинговые исследования рынка
перевозок
3
Внутренняя бухгалтерская документация
3
Сведения о достигнутых соглашениях и
договоренностях
3
1.2.2. Оценка уязвимостей активов
Уязвимость информационных активов представляет собой тот или другой
минус, следствием которого становится не желательное воздействие на актив со
стороны злоумышленников, не квалифицированных работников или
вредоносного кода.
Уязвимости системы информации предприятия можно определить
некоторыми методами. Их может описать сотрудник фирмы основываясь на
собственный опыт. Помимо этого, можно пригласить посторонних специалистов
для того, чтобы провести технологический аудит информационной системы и
выявить все уязвимости.
На рассмотренном предприятии оценивание уязвимостей активов
выполняется соответственно с запросами ГОСТ Р ИСО/МЭК ТО 13335-3-2007
«Методы и средства обеспечения безопасности. Часть 3. Методы менеджмента
безопасности информационных технологий» на основании применения общего
подхода. При выполнении этого применяются такие критерии оценки ущерба от
утраты конфиденциальности, доступности или целостности активов:
нарушение подзаконных актов или/и закона;
уменьшение эффективности бизнеса;
снижение престижа компании;
нарушение безопасности личной информации;
необеспеченность персональной безопасности;
26
отрицательный эффект с позиции обеспечения правопорядка;
нарушение безопасности коммерческой тайны;
нарушение общественного порядка;
финансовые потери;
нарушение деловых сделок;
угроза охране окружающей среды.
Итоги оценки уязвимостей составляются в виде списка, где напротив
каждой из уязвимостей приводится предназначенная ей оценка риска ИБ, а
также оценка стоимости актива и вероятности осуществления угроз.
В таблице 1.5 приводятся итоги оценки уязвимости активов.
Таблица 1.5
Итоги оценки уязвимости активов предприятия
Группа
уязвимостей
Содержание
уязвимости
Финан
совые
отчеты
компан
ии
Персон
альные
данные
сотрудн
иков
Систем
а
обеспе
чения
безопас
ности
компан
ии
Сведен
ия о
схемах
размещ
ения
систем
безопас
ности
Маркети
нговые
исследо
вания
рынка
Внутре
нняя
бухгалт
ерская
докуме
нтация
Сведения
о
достигну
тых
соглашен
иях и
договоре
нностях
Свед
ения
о PR-
комп
ания
х
1. Среда и инфраструктура
Акустическое
поле
помещения
низкая
низкая
низкая
низкая
средняя
средняя
Тех.средство,
склонное к
эффекту ВЧ-
навязывания
Низкая
низкая
низкая
средняя
низкая
средняя
Подслушиван
ие
низкая
низкая
средняя
низкая
средняя
. 2. Аппаратное обеспечение
Блоки ПЭВМ
(ПЭМИН)
высока
я
высо
кая
Программно-
аппаратное
закладное
устройство
внутри ПЭВМ
средняя
3. Программное обеспечение
Вирусная
опасность
средня
я
средн
яя
средняя
средняя
Возможность
встраивания
закладных
средств
средняя
средняя