Содержание
Введение ............................................................................................................................. 3
I Аналитическая часть ....................................................................................................... 6
1.1. Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения) ............................................................................. 6
1.1.1. Общая характеристика предметной области ........................................................ 6
1.1.2. Организационно-функциональная структура предприятия ................................ 8
1.2. Анализ рисков информационной безопасности .................................................... 18
1.2.1 Идентификация и оценка информационных активов ......................................... 18
1.2.2. Оценка уязвимостей активов ................................................................................ 25
1.2.3. Оценка угроз активам ........................................................................................... 31
1.2.4. Оценка существующих и планируемых средств защиты .................................. 50
1.2.5. Оценка рисков ........................................................................................................ 55
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты
информации на предприятии ......................................................................................... 58
1.3.1. Выбор комплекса задач обеспечения информационной безопасности ........... 58
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации ...................................................................................................................... 63
1.4. Выбор защитных мер ............................................................................................... 66
1.4.1. Выбор организационных мер ............................................................................... 66
1.4.2. Выбор инженерно-технических мер .................................................................... 72
II Проектная часть ........................................................................................................... 75
2.1. Комплекс организационных мер обеспечения информационной безопасности и
защиты информации предприятия ................................................................................. 75
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия ..................................................................................................................... 75
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия ....................... 80
2
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ....................... 81
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия ...................................................... 81
2.2.2. Контрольный пример реализации проекта и его описание ............................... 86
III Обоснование экономической эффективности проекта ........................................... 91
3.1 Выбор и обоснование методики расчёта экономической эффективности .......... 91
3.2 Расчёт показателей экономической эффективности проекта ............................... 91
Заключение ..................................................................................................................... 101
Список использованной литературы ........................................................................... 105
Приложения.................................................................................................................... 108
3
Введение
Актуальность выбранной темы выпускной квалификационной работы
обусловлена следующими факторами. Безопасность предприятия – это состояние
его защищенности от различных видов угроз и готовность к их предотвращению.
Угрозы эти могут иметь различное происхождение, но все они приводят, в
конечном счете, к финансовым потерям и убыткам.
Каждое предприятие сталкивается в своей работе с различными факторами,
которые влияют как на физическую, так и на финансовую безопасность. Например,
для любой без исключения организации актуальна проблема трудовой
дисциплины. Опоздания, прогулы, ранние уходы и отсутствие сотрудников на
местах в рабочее время ведут к необоснованным выплатам зарплаты, снижению
возможной прибыли, а также негативно сказываются на имидже предприятия.
Другой распространенной проблемой на производстве является воровство.
Руководитель любого завода может привести массу примеров, связанных с
хищениями продукции, ценных материалов, инструмента, деталей оборудования.
Не менее важна защита предприятия от криминальных элементов,
проникающих на территорию с различными целями – начиная от сговора с охраной
для организации крупного хищения и заканчивая попытками влияния на политику
предприятия, в том числе незаконными методами.
Если здания и помещения предприятия до сих пор не оснащены средствами
пожарной сигнализации и противопожарной защиты, то следует это сделать.
Помимо того, что наличие противопожарных систем является обязательным
требованием для всех объектов, эти системы позволяют существенно сократить
возможные убытки, а также предотвратить гибель людей от пожара.
Наконец, если предприятие относится к категории особой важности,
повышенной опасности и жизнеобеспечения, то необходимо защищаться и от
возможных террористических угроз. К сожалению, диверсии и террористические
акции на промышленных объектах имеют место быть, хотя эти данные редко
попадают в открытую печать.
Безопасность предприятия, завода или любого другого объекта реализуется
только комплексом мер, в который входят как организационные решения, так и
4
обоснованное применение технических (программных и аппаратных)систем
безопасности.
Современный этап развития общества характеризуется возрастающей
ролью информационной сферы, представляющей собой совокупность информации,
информационной инфраструктуры, субъектов, осуществляющих сбор,
формирование, распространение и использование информации, а также системы
регулирования возникающих при этом общественных отношений.
Любое предприятие располагает различными видами информации,
представляющими интерес для злоумышленников. Прежде всего, это
коммерческие данные, информация, являющаяся интеллектуальной
собственностью предприятия и конфиденциальные данные. Поэтому защите
информации от неправомерного овладения ею отводится весьма значительное
место. Успех современной компании и ее развитие в условиях острой конкуренции
в значительной степени зависят от применения информационных технологий, а
следовательно, от степени обеспечения информационной безопасности
Целью настоящей работы является разработка комплексной системы защиты
информации в коммерческой организации ООО «Труд». Исходя из цели выпускной
работы определены следующие задачи:
проанализировать технико-экономическоесостояние предметной
области и предприятия;
выполнить анализ рисков информационной безопасности;
представить характеристику комплекса задач, задачи и обоснование
необходимости совершенствования системы обеспечения информационной
безопасности и защиты информации на предприятии;
осуществить выбор защитных мер;
сформировать комплекс организационных мер обеспечения
информационной безопасности и защиты информации предприятия;
разработать комплекс программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия;
5
выполнить выбор и обоснование методики расчёта экономической
эффективности;
провести расчёт показателей экономической эффективности проекта.
Объектом исследования в настоящей работе является формирование и
функционирование информационных ресурсов в системе безопасности
организации ООО «Труд».
Предметом исследования - деятельность по обеспечению безопасности
информационных ресурсов коммерческого предприятия.
Теоретической и методологической основой проведенного исследования
послужили труды отечественных и зарубежных ученых в области безопасности
информационных систем. В работе использованы законодательные акты и
нормативные документы Российской Федерации, периодические издания, учетные
и отчетные данные организации.
При разработке и решении поставленных задач применялись методы
наблюдения, группировки, сравнения, обобщения, абстрактно-логические
суждения, дедукции и индукции и др.
Структурно выпускная квалификационная работа представлена введением,
основной частью, разделенной на три главы, заключения, списка использованной
литературы. В первом разделе представлен анализ деятельности ООО «Труд»,
состав и угрозы информации и информационных технологий, способы защиты
информации, применяемые на предприятии.
Во втором разделе проводится разработка предложений по развитию
системы обеспечения информационной безопасности на предприятии ООО «Труд».
В третьем разделе проведено обоснование экономической эффективности
разработанных предложений.
В заключении аккумулированы основные выводы по результатам
исследования.
6
I Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1. Общая характеристика предметной области
ООО «Труд» зарегистрирована 25 апреля 2017 г. регистратором
Межрайонная инспекция Федеральной налоговой службы № 9 по Республике
Крым. Руководитель организации: генеральный директор Беспятова Татьяна
Владимировна. Юридический адрес ООО «Труд» - 297406, республика Крым,
город Евпатория, улица Фрунзе, дом 25, помещение 2.
Основным видом деятельности является «Деятельность агентств по
подбору персонала», зарегистрированы 34 дополнительных вида деятельности.
Организации присвоены ИНН 9110020447, ОГРН 1179102011263, ОКПО 15504410.
Фактическим видом деятельности ООО «Труд» является оказание
широкого спектра консалтинговых услуг в области бухгалтерского учета, права,
инвестиций и HR, т.е. во всех тех областях, которые присутствуют в любой
компании вне зависимости от рода деятельности и составляют её организационно-
административную часть, физическим и юридическим лицам. Также ООО «Труд»
оказывает клиентам услуги по аутсорсингу их внутренних процессов, таких как
правовая поддержка, кадровый учет и делопроизводство, внутренний аудит
системы менеджмента качества.
Спектр консалтинговых услуг, оказываемых ООО «Труд» включает в себя:
юридические и бухгалтерские консультации;
абонентское обслуживание;
кадровое администрирование;
разовые консультации (устные и письменные);
диагностику текущего состояния (аудит) с разработкой
рекомендаций;
разработку проектных и системных решений;
разработку методологии и регламентной документации;
внедрение системных решений;
обучение в рамках проектов и корпоративных семинаров;
7
консультационное сопровождение;
абонентское обслуживание и аутсорсинг.
Наиболее востребованные виды деятельности ООО «Труд»:
Бухгалтерский консалтинг: комплексное бухгалтерское сопровождение
включающее в себя профессиональное ведение бухгалтерского и налогового учета,
а также составление налоговых деклараций для налоговых органов, отчетов для
Пенсионного Фонда РФ и прочих контролирующих органов.
Юридический консалтинг: ведение абонентского обслуживания;
государственная регистрация ИП, ООО, АО; внесение изменений в учредительные
документы; проведение правового аудита; представительство в суде.
В таблице 1 представлены основные характеристики видов деятельности
ООО «Труд», и осуществлен расчет таких показателей как характеристика
деятельности службы безопасностиущерб от реализованной угрозы
информационным ресурсам. Характеристика деятельности службы безопасности
рассчитана как число выявленных угроз к числу предотвращенных угроз.
Таблица 1
Основные характеристики видов деятельности
№
п\п
Наименование характеристики
Приблизительное значение
показателя
1.
Кол-во обрабатываемых документов
28000 документов/год.
2.
Контракты и договоры
80 000 000 руб./год.
3.
Разовые услуги
10 000 000 руб./год.
4.
Характеристика деятельности службы
безопасности
0,8
5.
Ущерб от реализованной угрозы
информационным ресурсам
1000 000 руб.
Ущерб от реализованной угрозы информационным ресурсам составляет
около 1 млн. рублей в год, что является суммой потерянного рабочего времени
работников компании в следствии проводимых работ по диагностике и устранению
проблем в работе компьютерного оборудования сотрудников, а также
ориентировочно рассчитанные потери потенциальных клиентов в следствии
недоступности веб-ресурсов компании. При этом, как видно из таблицы 1,
основанной на данных технических служб ООО «Труд» в 20% случаев требовалось
вмешательство специалистов для устранения последствий угрозы ресурсам.
8
Количественно–стоимостные оценки деятельности ООО «Труд» указаны в
таблице 2.
Таблица 2
Количественно–стоимостные оценки деятельности компании
№
п/п
Наименование
показателя
Ед.
изм.
2017 г.
2018 г.
2019 г.
Отклонение
2019/2017
Абсолютн
+/-
Темп
роста,
%
1
Объем реализации услуг
т.руб.
75535
79510
83502
7968
110,5
2
Численность работающих
чел.
123
129
130
7
106,1
3
Производительность труда
1-го работающего
т.руб.
1987
2092
1740
-247
87,6
4
Фонд заработной платы
персонала
т.руб.
9850
10368
11096
1246
112,7
5
Среднегодовая зарплата 1-
го работающего
т.руб.
259
273
231
-28
89,1
6
Себестоимость услуг
т.руб.
69464
73120
75942
6478
109,3
Из данных таблицы 2, можно отметить рост основных показателей
деятельности предприятия. Так объем оказанных услуг показал рост на 10,5% за
период с 2017 по 2019 года. Численность работающих также увеличилась на 6,1%.
Однако ряд показателей показывает отрицательную динамику: производительность
труда работников сократилась на 12,4% или на 247 тыс. рублей в год, что сказалось
на сокращении среднегодовой зарплаты работающих (сокращение на 10,9% или на
28 тыс. рублей в год).
В проведенном сравнение данных количественно–стоимостные оценки
деятельности компании (таблица 2) и основных характеристиках видов
деятельности (таблица 1), мы можем отметить, что ущерб от реализованной угрозы
информационным ресурсам составляет около 1% от объема реализованных услуг.
1.1.2. Организационно-функциональная структура предприятия
Организационно ООО «Труд» состоит из следующих структурных звеньев
(рисунок 1). Организационная структура ООО «Труд» сформирована по линейно-
функциональному типу и представлена 6 отделами: финансовым отделом (включая
структурное подразделение – отдел продаж), основных производственных
подразделений: отдел бухгалтерского обслуживания и отдел правового
9
обслуживания, отдел работы с клиентами (включая структурное подразделение –
CALL-центр) и IT-отдел.
10
Рисунок 1– Организационная структура ООО «Труд»
Деятельностью ООО управляет генеральный директор, он же определяет
основные направления развития.
Генеральный директор решает вопросы изменения устава, утверждает
годовые результаты деятельности, а также решает вопросы по ликвидации и
реорганизации фирмы. Работников фирма набирает с биржи труда в соответствии с
их квалификацией и разрядом. Также возможно привлечение молодых сотрудников
с незаконченным высшим или средним специальным образованием для
прохождения практики. Взаимоотношения генерального директора с
подчиненными, охрана труда, социальное развитие регулируется
законодательством РФ.
Основными отделами предприятия являются отдел бухгалтерского
обслуживания и отдел правового обслуживания. Данные отделы осуществляют
непосредственное оказание услуг клиентам.
Во главе отделов стоят руководители отдела. В каждом отделе формируются
рабочие группы по обслуживанию клиентов. Консультант отдела бухгалтерского
учета:
Генеральный
директор
Финансовый
отдел
Отдел продаж
Отдел
бухгалтерского
обслуживания
Отдел
правового
обслуживания
Отдел
маркетинга и
рекламы
Отдел работы с
клиентами
call-центр
ИТ-Отдел
Отдел кадров
Главный
бухгалтер