62
17) внедрение аппаратных «спецвложений», программных «закладок» и
«вирусов» («троянских коней» и «жучков»), то есть таких участков программ,
которые не нужны для осуществления заявленных функций, но позволяющих
преодолевать систему зашиты, скрытно и незаконно осуществлять доступ к
системным ресурсам с целью регистрации и передачи критической информации
или дезорганизации функционирования системы;
18) незаконное подключение к линиям связи с целью работы «между строк»,
с использованием пауз в действиях законного пользователя от его имени с
последующим вводом ложных сообщений или модификацией передаваемых
сообщений;
19) незаконное подключение к линиям связи с целью прямой подмены
законного пользователя путем его физического отключения после входа в систему
и успешной аутентификации с последующим вводом дезинформации и
навязыванием ложных сообщений.
Следует заметить, что чаще всего для достижения поставленной цели
злоумышленник использует не один, а некоторую совокупность из перечисленных
выше путей.
В связи с этим назрела необходимость в создании комплексной системе
обеспечении информационной безопасности.
Комплексная система информационной безопасности включает в себя
следующие элементы и складывается путем реализации вопросов ИБ:
в корпоративной культуре и этике сотрудников;
в работе кадровой службы и службы безопасности по кандидатам на
работу;
в работе службы
6
ИБ с персоналом по вопросам инструктажа,
консультирования и обучения персонала;
6
Автоматизированные информационные технологии в экономике: Учебник / Под ред. проф. Г.А. Титоренко.
- М.: ЮНИТИ, 2018 г.- 399 с.
63
в усилиях хозяйственной службы и службы безопасности по
физической защите территории предприятия и помещений, в которых циркулирует
критичная информация;
в деятельности по созданию и поддержанию работоспособности
информационных систем (питание, климат-контроль; пожаротушение; охранно-
пожарная сигнализация; система ограничения и контроля доступа);
в основных регламентирующих эти вопросы документах, созданных
службой ИБ (концепции ИБ предприятия и политик ее реализации во всех
направлениях деятельности предприятия, где присутствует информационное
взаимодействие);
в технических методах (схемах, планах), внедренных IT-службой при
создании, модификации корпоративной информационной системы,
обслуживающей бизнес-процессы и бизнес-задачи предприятия;
в созданных юридической службой и службой И Б документах и
процедурах, позволяющих в рамках федерального законодательства: проводить
необходимые действия с персоналом и кандидатами на работу; заключать
предусматривающие информационное взаимодействие договоры с внешними
организациями; предоставлять защищенную в соответствии с федеральным
законодательством информацию внешним структурам и лицам;
o осуществлять на предприятии деятельность по защите информации.
То есть разрабатываемая система должна обеспечивать безопасность
обработки информации со всех сторон. В выпускной квалификационной работе
предполагается рассмотреть процесс создания комплексной системы защиты
информации, включая программно-аппаратные комплекс и инженерно-технические
мероприятия.
1.3.2. Определение места проектируемого комплекса задач в
комплексе задач предприятия, детализация задач информационной
безопасности и защиты информации
В выпускной работе будут реализованы следующие задачи: разработаны
документы, регламентирующие доступ к информационным ресурсам ООО
66
эффективности работы, как отдельного сотрудника так и всего предприятия в комплексе. Таким образом, возникает потребность внедрять инструменты проектного менеджмента на практике, организую проектную деятельность, осуществляя ресурсное и календарное планирование. Именно вопросы развития предприятия во многом наиболее благоприятствуют
организации проектной работы и применению наиболее эффективных инструментов, что обусловлено достаточно широкими временными рамками, и необходимостью организации командной работы с формированием собственной методики проектной работы. Все это в совокупности и обуславливает актуальность темы дипломной работы. Исходя из
актуальности, определим объект и предмет исследования. Предметом исследования выступает проект развития компании ООО «ФанДжим». Объектом исследования является проект открытия магазина оптово-розничной торговли. Исходя из актуальности, предмета и объекта дипломной работы необходимо сформулировать цель работы. Цель дипломной работы
разработка и обоснование эффективности проекта развития ООО «ФанДжим». Для достижения поставленной цели необходимо решить следующие задачи: проанализировать представленные различными авторами вопросы проектного менеджмента; исследовать факторы, оказывающие влияние на эффективное управление проектом развития компании; изучить
аспекты управления проектом развития организации; дать характеристику ООО «ФанДжим»; выявить и обосновать необходимость развития организации ООО «ФанДжим»; разработать б изнес-план и проект развития компании; проанализировать особенности управления проектом развития компании. Степень разработанности проблемы. Исследованию
вопросов проектного менеджмента в общем, и проектов развития организаций в частности, посвящены труды как отечественных так и зарубежных авторов, между тем полных исследований вопросов организации проектов по развитию российски х компаний в современных условия недостаточно. Наиболее значимые труды, посвященные аспектам, изучаемым в
дипломной работе, принадлежат следующим авторам: Магура М.И., Леонтьев С.В., Мазур И.И., Шапиро В.Д.. Работы данных авторов во многом сформировали информационную базу исследования, которая также составлена из внутренних отчетов объекта исследования, материалов периодической печати и ресурсов сети интернет. Для решения поставленных
задач применялись такие общенаучные и специальные методы познания как: дедукция и индукция, синтез экономической информации, анализ и моделирование. Теоретическое значение дипломной работы обусловлено обобщением информации о проектах развития компаний. Практическая значимость работы обусловлена возможность реализации на практике
разработанного проекта на объекте исследования и его адаптация с последующим внедрением в иных аналогичных предприятиях. Структура работы сформирована опираясь на решаемые задачи и представлена введением, тремя главами: теоретической, аналитической и практической, которые разбиты на параграфы, заключением, списком использованных
источников и литературы, а также приложениями, в которых представлен иллюстративный и табличный материал, исключенный из общей работы. Актуальность темы исследования. В настоящее время все больше предприятий переходят на проектную систему управления и организацию деятельности посредством реализации проектов. Такой подход к
организации деятельности позволяет существенно повысить эффективность деятельности всего предприятия, осуществить долгосрочное ресурсное планирование, потребность в специалистах. Особую роль проектный менеджмент приобретает в рамках стратегического планирования, позволяя заблаговременно подготовить решения для реализации
стратегических планов развития предприятия, предусмотреть возможные проблемы, возникающие на пути развития организации. Таким образом проектный менеджмент является не только «модным» течением, заимствованным с запада, но и эффективным инструментом управления. Между тем, знание теоретических основ проектного менеджмента не является
гарантией повышения эффективности работы, как отдельного сотрудника так и всего предприятия в комплексе. Таким образом, возникает потребность внедрять инструменты проектного менеджмента на практике, организую проектную деятельность, осуществляя ресурсное и календарное планирование. Име нно вопросы развития предприятия во многом
наиболее благоприятствуют организации проектной работы и применению наиболее эффективных инструментов, что обусловлено достаточно широкими временными рамками, и необходимостью организации командной работы с формированием собственной методики проектной работы. Все это в совокупности и обуславливает актуальность темы дипломной
работы. Исходя из актуальности, определим объект и предмет исследования. Предметом исследования выступает проект развития компании ООО «ФанДжим». Объектом исследования является проект открытия магазина оптово-розничной торговли. Исходя из актуальности, предмета и объекта дипломной работы необходимо сформулировать цель работы. Цель
дипломной работы разработка и обоснование эффективности проекта развития ООО «ФанДжим». Для достижения поставленной цели необходимо решить следующие задачи: проанализировать представленные различными авторами вопросы проектного менеджмента; исследовать факторы, оказывающие влияние на эффективное управление проектом развития
компании; изучить аспекты управления проектом развития организации; дать характеристику ООО «ФанДжим»; выявить и обосновать необходимость развития организации ООО «ФанДжим»; разработать б изнес-план и проект развития компании; проанализировать особенности управления проектом развития компании. Степень разработанности проблемы.
Исследованию вопросов проектного менеджмента в общем, и проектов развития организаций в частности, посвящены труды как отечественных так и зарубежных авторов, между тем полных исследований вопросов организации проектов по развитию российских комп аний в современных условия недостаточно. Наиболее значимые труды, посвященные
аспектам, изучаемым в дипломной работе, принадлежат следующим авторам: Магура М.И., Леонтьев С.В., Мазур И.И., Шапиро В.Д.. Работы данных авторов во многом сформировали информационную базу исследования, которая также составлена из внутренних отчетов объекта исследования, материалов периодической печати и ресурсов сети интернет. Для
решения поставленных задач применялись такие общенаучные и специальные методы познания как: дедукция и индукция, синтез экономической информации, анализ и моделирование. Теоретическое значение дипломной работы обусловлено обобщением информации о проектах развития компаний. Практическая значимость работы обусловлена возможность
реализации на практике разработанного проекта на объекте исследования и его адаптация с последующим внедрением в иных аналогичных предприятиях. Структур а работы сформирована опираясь на решаемые задачи и представлена введением, тремя главами: теоретической, аналитической и пра ктической, которые разбиты на параграфы, заключением,
списком использованных источников и литературы, а также приложениями, в которых представлен иллюстративный и табличный материал, исключенный из общей работы.
Рисунок 7 Декомпозиция процесса защиты информации ООО «Труд»
Основными подпроцессами функционирования системы защиты данных
являются следующие:
описание угроз ;
определение средств защиты;
применение (эксплуатация) средств защиты;
контроль функционирования системы защиты.
1.4. Выбор защитных мер
1.4.1. Выбор организационных мер
Декомпозиция процесса описания угроз персональным данным приведена на
рисунке 7.
При описании угроз информации выполняются следующие мероприятия:
сбор, обработка информации, определение их типа и степени
необходимости защиты;
определение перечня наиболее актуальных на текущий момент угроз с
учетом особенностей функционирования информационной системы учебного
заведения, в том числе передачи данных по незащищенным каналам;
построение модели угроз на основе определенного перечня .
67
Рисунок 8 Декомпозиция процесса описания угроз персональным данным
Декомпозиция процесса определения актуальных угроз приведена на
рисунке 9.
Можно выделить несколько основных актуальных угроз безопасности в
территориально распределенных информационных системах:
угрозы перехвата информации в незащищенных каналах связи и сетях
общего доступа;
угрозы от воздействия вредоносных вирусных программ;
угрозы наличия недекларированных возможностей системного ПО и
ПО для обработки персональных данных;
угрозы внедрения по сети вредоносных программ и др.
68
Рисунок 9 Декомпозиция процесса определения актуальных угроз
Декомпозиция процесса построения модели угроз приведена на рисунке 10.
Рисунок 10 Декомпозиция процесса построения модели угроз
Наиболее важным процессом в системе защиты персональных данных
является определение средств защиты.
В состав данного процесса входят такие мероприятия, как:
анализ существующей информационной системы и уже применяемых
средств защиты;
определение перечня и эффективности применяющихся средств защиты;
69
определение дополнительных мероприятий и средств по защите
персональных данных для обеспечения их защищенности.
Рисунок 11 Определение средств защиты
Применение средств защиты включает в себя как технические средства, так
и организационные (рисунок 12).
Рисунок 12 Процесс применения средств защиты
Если с организационными мерами (пропускной режим, физическая охрана
объектов, введение парольной политики пользователей и т.д.) проблем обычно не
возникает, то с техническими средствами дело обстоит сложнее. Обратим
70
внимание, что при передаче данных в сетях общего пользования организационные
меры, по сути, неприменимы.
Рекомендуемыми
8
действенными техническими мерами по предотвращению
реализации актуальных угроз являются:
использование сертифицированных на недекларированные
возможности программных средств защиты;
обеспечение антивирусной защиты;
построение систем защиты при передаче обрабатываемой информации
по каналам связи;
использование межсетевого экранирования;
организация разграничения прав пользователей на установку
стороннего ПО, аппаратных средств, подключения мобильных
устройств и внешних носителей;
корректная установка и настройка элементов ИСПДн и средств
защиты;
использование средств анализа защищенности информационных
систем.
Если переложить перечисленные меры на указанные в методических
документах подсистемы, мы получим следующий список подсистем:
подсистема антивирусной защиты;
подсистема защиты от несанкционированного доступа (включая
подсистемы обеспечения регистрации и учета, целостности и
управления доступом);
подсистема маршрутизации, коммутации и межсетевого
экранирования;
подсистема анализа защищенности и выявления уязвимости;
подсистема криптографической защиты информации.
8
Автоматизированные информационные технологии в экономике: Учебник / Под ред. проф. Г.А. Титоренко.
- М.: ЮНИТИ, 2018 г.- 399 с.
71
Рисунок 13 Технические средства защиты
Рисунок 14 Организационные средства защиты
При построении систем защиты персональных данных обычно используются
отечественные средства защиты. Это объясняется тем, что российские
72
разработчики технических средств адаптируют свои решения под требования
российского законодательства на протяжении многих лет, а некоторыми
разработками занимаются бывшие сотрудники регулирующих органов.
1.4.2. Выбор инженерно-технических мер
На рынке защиты информации предлагается много отдельных инженерно-
технических, программно-аппаратных, криптографических средств защиты
информации. В литературе по защите информации можно найти описание методов
и средств на их основе, теоретических моделей защиты. Однако для того, чтобы
создать на предприятии условия эффективной защиты информации, необходимо
объединить отдельные средства защиты в систему. При этом надо помнить, что
главным элементом этой системы является человек. Причем человек является
ключевым элементом системы и вместе с тем самым трудно формализуемым и
потенциально слабым ее звеном.
Создание системы защиты информации (СЗИ) не является главной задачей
предприятия, как, например, производство продукции и получение прибыли.
Поэтому создаваемая СЗИ не должна приводить к ощутимым трудностям в работе
предприятия, а создание СЗИ должно быть экономически оправданным. Тем не
менее, она должна обеспечивать защиту важных информационных ресурсов
предприятия от всех реальных угроз.
Основной проблемой реализации систем защиты является: с одной стороны,
обеспечение надежной защиты, находящейся в системе информации (исключение
случайного и преднамеренного получения информации посторонними лицами), с
другой стороны, системы защиты не должны создавать заметных неудобств
авторизированным пользователям в ходе их работы с ресурсами системы.
Проблема обеспечения желаемого уровня защиты информации весьма
сложная, требующая для своего решения не просто осуществления некоторой
совокупности научных, научно-технических и организационных мероприятий и
применения специальных средств и методов, а создания целостной системы
организационно-технологических мероприятий и применения комплекса
специальных средств и методов защиты информации.
73
Информационная безопасность в настоящее время является одним из
наиболее важных факторов, так как часто владении е нужной информацией
позволяет захватить все преимущества на рынке, что в условиях конкурентной
борьбы не допустимо. Кроме того, внутренняя информация фирмы всегда
интересна криминалитету, а также недобросовестным конкурентам. Пресловутый
человеческий фактор также говорит о том, вероятность утечки информации всегда
существует и ее нельзя исключать.
Таким образом, существующие опасности вынуждают защищать
информацию и технические средства ее обработки во всех сторон, комплексно.
Основными целями обеспечения информационной безопасности ООО
«Труд» следует считать:
обеспечение руководства достоверной, полной и актуальной
предметной информацией, необходимой для принятия обоснованных решений;
обеспечение приемлемого уровня рисков использования
информационных активов;
защиту информационных активов от разглашения, утечки и
несанкционированного доступа, обеспечение их целостности и доступности в
соответствии с бизнес-целями ООО «Труд», требованиями российского
законодательства и нормативно-технической базы;
защиту информационных и телекоммуникационных систем ООО
«Труд» от преступлений, совершаемых с использованием уязвимостей
информационных технологий;
создание системы контроля информационной безопасности и
снижения уровня информационных угроз.
Основной задачей обеспечения информационной безопасности ООО «Труд»
является - создание комплексной системы защиты и механизмов своевременного
выявления, прогнозирования, локализации и блокирования угроз безопасности,
оперативного реагирования на проявления негативных тенденций в использовании
информационных активов ООО «Труд».