7
СОДЕРЖАНИЕ
СОДЕРЖАНИЕ ................................................................................................................................................ 7
Введение ............................................................................................................................................................ 9
1 Аналитическая часть .............................................................................................................................. 12
1.1 Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения) ................................................................................................. 12
1.1.1 Общая характеристика предметной области ............................................................... 12
1.1.2 Организационно-функциональная структура предприятия ....................................... 13
1.2 Анализ рисков информационной безопасности .................................................................... 16
1.2.1 Идентификация и оценка информационных активов ................................................. 16
1.2.2 Оценка уязвимостей активов ......................................................................................... 22
1.2.3 Оценка угроз активам .................................................................................................... 28
1.2.4 Оценка существующих и планируемых средств защиты ........................................... 34
1.2.5 Оценка рисков ................................................................................................................. 44
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты информации
на предприятии ...................................................................................................................................... 50
1.3.1 Выбор комплекса задач обеспечения информационной безопасности ..................... 50
1.3.2 Определение места проектируемого комплекса задач в комплексе задач предприятия,
детализация задач информационной безопасности и защиты информации ........................... 53
1.4 Выбор защитных мер ............................................................................................................... 56
1.4.1 Выбор организационных мер ........................................................................................ 56
1.4.2 Выбор инженерно-технических мер ............................................................................. 58
2 Проектная часть ...................................................................................................................................... 61
2.1 Комплекс организационных мер обеспечения информационной безопасности и защиты
информации предприятия .................................................................................................................... 61
2.1.1 Отечественная и международная нормативно-правовая основа создания системы
обеспечения информационной безопасности и защиты информации предприятия.............. 61
2.1.2 Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия .................................... 70
2.2 Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ............................................. 85
2.2.1 Структура программно-аппаратного комплекса информационной безопасности и
защиты информации предприятия .............................................................................................. 85
2.2.2 Контрольный пример реализации проекта и его описание ........................................ 89
3 Обоснование экономической эффективности проекта ....................................................................... 98
3.1 Выбор и обоснование методики расчёта экономической эффективности ......................... 98
3.2 Расчёт показателей экономической эффективности проекта ............................................ 103
8
Приложение. Общие требования по обеспечению информационной безопасности ............................. 117
9
Введение
В настоящее время подавляющее большинство информации обрабатывается
с помощью различных технических средств – компьютерного оборудования, а
передается по линиям связи различного рода и принципа действия. И если
хранящаяся в одном и том же месте информация является тяжело доступной для
злоумышленника, то при передаче ее по линиям связи ее защита, как правило,
значительно слабее. В связи с этим насущным вопросом для организаций
различного рода является именно обеспечение защиты информации при ее
передаче.
В рамках выпускной квалификационной работы рассматривается объект,
использующий в процессе документооборота информацию, являющуюся
коммерческой тайной. Таким образом, можно сделать вывод, что данный объект
подлежит анализу на соответствие требований, выставленных ГТК, и в случае
несоответствия – подлежит модернизации.
Система ИБ включает в себя объединённый комплекс административных
программно-технических мер по реализации безопасности информационных
ресурсов. Для создания системы ИБ основной составляющей становится
административная часть системы, включающая в себя:
• Методики реализации ИБ, входящие в систему администрирования и
обеспечивающие контроль работы самой системы ИБ;
• Политику ИБ, определяющую главные положения и сферу влияния
системы ИБ;
• Политику безопасного применения информационных сервисов,
определяющих конкретные требования реализации безопасности компонентов IT-
инфраструктуры безопасности;
• Методики поддержания политик безопасности, которые включают в
себя средства и мероприятия по созданию требований политик безопасности и
отслеживания их выполнения (создаются на этапе реализации системы ИБ).
Процедуры и методики реализации ИБ поддерживают защиту
информационной инфраструктуры от различных IT-рисков методом реализации
ответных контрмер.
10
Для обеспечения надлежащей защиты конфиденциальной информации в
компании используются сертифицированные средства. Например, средства защиты
от несанкционированного доступа (НСД), межсетевые экраны и средства
построения VPN, средства защиты информации от утечки за счет ПЭМИН и
прочие.
Организация информационной безопасности на локальных станциях
осуществляется целым комплексом мер. В него входит:
• Наличие функционирующего антивируса со всеми компонентами
защиты. с ежедневно обновляющимися антивирусными базами.
• Наличие всех обновлений операционной системы Microsoft Windows
XP (7), а также еженедельная синхронизация с сервером обновлений и установка
новых.
• На серверах предприятия также установлены антивирусы и в
комплексе с настроенными политиками безопасности, в том числе разграничение
доступа при удаленной работе, информационная безопасность находится на
должном уровне.
• Наличие сетевого экрана, встроенного в маршрутизаторы, дает
хорошую гарантию от несанкционированного проникновения извне. Для защиты
информации от НСД используются аппаратно-программные средства в том числе
USB-rutoken.
Темой выпускной квалификационной работы является «Разработка
политики информационной безопасности на примере ООО «Спарта»».
Целью проекта является повышение уровня защищенности системы
информационной безопасности в ООО «Спарта».
Объектом исследования является ООО «Спарта».
Предметом исследования является политика безопасности компании.
Выпускная квалификационная работа состоит из 3 глав. Краткое описание
каждой из них приведено ниже.
В первой главе рассмотрена задача построения информационной
безопасности, для решения которой проводится характеристика информационной
системы предприятия, угроз ИБ, и выдвижение требований к системе защиты
информационной безопасности.
11
Во второй главе затрагиваются вопросы проектирования системы
информационной безопасности в рамках государственных стандартов.
Определяются требования к системе информационной в рамках тех же
государственных стандартов. Так же производится анализ существующей системы
ИБ, и выявление несоответствий требованиям государственных стандартов.
Эта же глава посвящена устранению недостатка в системе ИБ предприятия, а
именно описанию внедрения программного-аппаратного комплекса для защиты
информации компании.
В третьей главе производится оценка экономического эффекта от
модернизации системы информационной безопасности компании.
12
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
Компания admitad GmbH (ООО «Спарта») была создана 1 октября 2009 года.
Разработка первой версии платформы длилась более 7 месяцев, а официальный
запуск состоялся 1 марта 2010 года. С тех пор компания приобрела богатый опыт
работы на мировом рынке. Компания является сетью партнерских программ для
заработка веб-мастеров.
В России с компанией работают уже 1 597 рекламодателей, а их продвигают
675 957 веб-мастеров, которые суммарно дают более 5 000 000 целевых
посетителей в сутки. Ежемесячный рост оборота составляет около 15-20%.
Компания детально знает сегмент партнёрских программ изнутри и готовы
поделиться актуальной информацией по наиболее ключевым направлениям CPA-
маркетинга.
Количественно–стоимостные оценки деятельности ООО «Спарта» указаны в
таблице 1.1.
Таблица 1.1
Количественно–стоимостные оценки деятельности компании
№
п/п
Наименование показателя
Ед. изм.
2016 г.
2017 г.
Отклонение
Абсолютн
о
+, -
Темп
роста, %
1
Объем реализации услуг
т.руб.
79510
83502
3992
105
2
Численность работающих
чел.
129
130
1
10
3
Производительность труда 1-го
работающего
т.руб.
2092
1740
-353
83
4
Фонд заработной платы
персонала
т.руб.
10368
11096
728
107
5
Среднегодовая зарплата 1-го
работающего
т.руб.
273
231
-42
85
6
Себестоимость услуг и
продукции
т.руб.
73120
75942
2822
104
13
1.1.2 Организационно-функциональная структура предприятия
Организационная структура управления предприятием, представленная на
рисунке 1.1, имеет иерархическую структуру. Во главе нее находится генеральный
директор, которому подчиняется заместитель генерального директора
(зам.ген.директора), а также начальники отделов. Они в свою очередь управляют
подчиненными им отделами.
Товаровед
Генеральный
директор
Отдел продаж
Менеджер
Отдел маркетинга
и рекламы
Товаровед
Менеджер
Бухгалтерия
Товаровед
Бухгалтер
Отдел IT-
поддержки
Товаровед
Специалист
Заместитель
ген.директора
ИТ-отдел
Товаровед
Специалист
Отдел кадров
Товаровед
Специалист
Руководитель
департамента по
работе с
рекламодателями
Руководитель
департамента по
работе с партнерами
Старший
менеджер
Товаровед
Менеджер
Старший
менеджер
Товаровед
Менеджер
Товаровед
Системный
администратор
Рис. 1.1.1 Организационная структура ООО «Спарта»
В должностные обязанности генерального директора входит руководство и
контроль работы фирмы, в его подчинение все остальные сотрудники компании.
Отдел продаж имеет следующие функции:
Увеличение стоимости и рентабельности заключенных контрактов.
Рост числа крупных заказов.
Расширение и сохранение клиентской базы.
Формирование личных и доверительных отношений с клиентами.
Расширение известности компании.
14
Создание имиджа компании как надежного делового партнера.
Качественная подготовка документов.
Развитие личностных и профессиональных компетенций работников
отдела.
К функциям отдела маркетинга и рекламы относят следующие:
Анализ и прогнозирование основных конъюктурообразующих
факторов потенциальных рынков предлагаемых услуг; коммерческо-
экономических, включая экономическую ситуацию и финансовое состояние
потенциальных покупателей, реальный платежеспособный спрос и соотношение
спроса и предложения на конкретные виды услуг; объемов поставки, технического
уровня и качества конкурирующей продукции, ее преимуществ и недостатков по
сравнению с продукцией данного предприятия; наличие новых рынков сбыта и
новых потребителей предлагаемых услуг предприятием.
Исследование потребительских свойств предлагаемых услуг и сбор
информации об удовлетворенности ими покупателей.
Выявление системы взаимосвязей между различными факторами,
влияющими на состояние рынка и объем продаж.
Анализ конкурентоспособности продукции предприятия,
сопоставление ее потребительских свойств, цены, издержек производства с
аналогичными показателями конкурирующей продукции, выпускаемой другими
предприятиями.
Выявление системы взаимосвязей между различными факторами,
влияющими на состояние рынка и объем продаж.
Определение географического размещения потенциальных
потребителей.
Определение удельного веса услуг основных конкурентов в общем
объеме сбыта на данном рынке.
Исследование структуры, состава и организация работ, сбытовой сети,
обсуживающей данный рынок.
Организация обратной связи с потребителями: изучение мнения
потребителей.
15
Анализ мотивов определенного отношения потребителей к
предлагаемым услугам.
Анализ сильных и слабых сторон конкурирующей продукции.
Разработка стратегии рекламы по каждому изделию и плана
проведения рекламных мероприятий.
Организация рекламы при помощи средств массовой информации;
организация и подготовка статей для журналов, газет, радио.
Составление годовых, квартальных и внутри месячных планов в
соответствии с договорами и контроль за их выполнением.
Функции бухгалтерии
Формирование учетной политики в соответствии с законодательством
о бухгалтерском учете и исходя из структуры и особенностей деятельности
предприятия, необходимости обеспечения его финансовой устойчивости;
Работа по подготовке и принятию рабочего плана счетов, форм
первичных учетных документов, применяемых для оформления хозяйственных
операций, по которым не предусмотрены типовые формы;
Разработка форм документов внутренней бухгалтерской отчетности;
Обеспечение порядка проведения инвентаризаций;
Контроль за проведением хозяйственных операций;
Обеспечение соблюдения технологии обработки бухгалтерской
информации и порядка документооборота;
Организация бухгалтерского учета и отчетности на предприятии и в
его подразделениях на основе максимальной централизации учетно-
вычислительных работ и применения современных технических средств и
информационных технологий, прогрессивных форм и методов учета и контроля;
Формирование и своевременное предоставление полной и
достоверной бухгалтерской информации о деятельности предприятия, его
имущественного положения, доходах и расходах;
Разработка и осуществление мероприятий, направленных на
укрепление финансовой дисциплины;
16
Учет имущества, обязательств и хозяйственных операций,
поступающих основных средств, товарно-материальных ценностей и денежных
средств;
Своевременное отражение на счетах бухгалтерского учета операций,
связанных с движением основных средств, товарно-материальных ценностей и
денежных средств.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Под информационным активом понимают любые данные, которые
независимо от вида или представления имеют какую-то ценность для компании и
находятся в ее распоряжении. Для любой организации такой набор активов
отличается, но можно привести в пример самые распространённые:
Персональная информация;
Стратегические данные, необходимые для достижения бизнес-целей;
Инновации и ноухау;
Коммерческая тайна;
Служебная тайна и т.д.
Для каждого такого актива определяют его владельца, который обязан нести
ответственность за его сохранность.
Можно отметить, что на данном этапе хорошим помощником будет
документированное описание бизнес-процессов. Оно позволит быстро
идентифицировать информационные активы, которые используются в каждом
конкретном бизнес-процессе, а также выявить всех его участников. В случае, если
такой документации нет, то самое время ее составить. Ведь помимо практической
пользы при внедрении системы управления рисками ИБ, составление бизнес-
процесса на бумаге иногда помогает лучше увидеть методы возможной
оптимизации.
Для рассматриваемой компании характерными активами является
информация, связанная с направлением ее деятельности, а именно распределённая