37
Разработку и проведение мероприятий по защите информационной
безопасности в ООО «Спарта» обеспечивает отдел информационных
технологий, структура управления которым представлена на рисунке 1.2.
Программисты
3
Начальник
отдела ИТ
Заместитель
начальника
отдела
Системные
администраторы
Специалист
технической
поддержки
пользователей
Рисунок 1.2 Организационно-штатная структура отдела ИТ
Отдел информационных технологий включает в себя специалистов
технической поддержки, программистов и системных администраторов.
Специалисты ТП отвечают за:
Получение от клиентов сообщений об инцидентах;
Организацию решения инцидентов на уровне, удовлетворительном
для клиента;
Слежение за статусом инцидента в ходе работы над ним;
Информирование клиента о ходе решения его проблем и
восстановлении нормального функционирования услуг;
Мониторинг, управление и выдача отчетов о качестве услуг,
которые предоставляются провайдером каждому отдельному пользователю.
Зона ответственности специалистов ТП охватывает следующие виды
деятельности:
Регистрация и начальный анализ заявок пользователей об
инцидентах;
Локализация причин возникновения инцидента;
38
Инициирование соответствующих действий, направленных на
устранения проблемы;
Генерация и управление всеми отчетами, имеющими отношение к
инциденту;
Отслеживание всех действий, направленных на устранение
проблемы и управление всем процессом разрешения инцидента;
Закрытие инцидента.
Программисты и системные администраторы занимаются настройкой
активного оборудования, поддержкой различных баз данных, удаленной
корректировкой работы всего сетевого оборудования компании.
В настоящее время в организации используются следующие
составляющие информационной системы:
1. электронная почта;
2. центральные хранилища данных;
3. автоматизированная отправку сообщений электронной почты;
4. общеинформационный портал;
5. средства для мобильной работы.
Благодаря централизованной системы авторизации на рабочих станциях
коллектив обмениваться информацией в режиме реального времени, а также
сотрудники могут эффективно работать на удаленных рабочих местах и
осуществлять совместную работу в различных операционных системах.
С помощью локальной вычислительной сети, которая служит для
организации совместной работы значительно увеличен объем информации,
который может обрабатывать один сотрудник компании.
Используемые технологии позволяют работникам вести использование и
обмен информацией в реальном времени для улучшения принятия решений,
уменьшения времени на ответы, лучшей согласованности действий и более
продуктивного использования времени и ресурсов.
Структурная схема технической архитектуры ООО «Спарта» представлена
на рисунке 1.3.
39
D-Link DES-3052
23 U
2 U Патч панель
1 U APC Smart-UPS 2200VA
2 U Маршрутизатор ZyXEL GS-4024F
3 U IBM x3550 Express Почтовый сервер
3 U IBM x3550 Express Файл-сервер
3 U IBM x3550 Express Сервер БД
3 U IBM System Storage DS3200
АРМ
Depo Ego 8510 mn
МФУ
Brother DCP-9010CN
Internet
D-Link DCM-202
Отделы
Серверная
АРМ администратора
сети
Depo Ego 8510 mn
АРМ администратора
системы безопасности
Depo Ego 8510 mn
АРМ начальника
службы охраны
Depo Ego 8510 mn
Служба безопасности
ДИП-34АС2000-СТ
С2000-ИК
Турникет
B
C
С2000-Proxy
АРМ видеоконтроля
Depo Ego 8510 mn
С2000
РИП-12РИП-12
RS-485
C
VD101EH
C
VD101EH
C
VD101EH
Видеореги
стратор
Видеокамеры
С2000-КПБ
С2000-КДЛ
Рисунок 1.3 Структурная схема технической архитектуры предприятия
Для построения ЛВС используются маршрутизатор ZyXEL GS-4024F,
физически расположенный в серверной комнате, а также неуправляемые
коммутаторы D-Link DES-1016A, расположенные в соответствии со схемой
расположения сетевого оборудования, из расчета 1 коммутатор на 16 рабочих
мест.
Основные характеристики данного коммутатора:
• Автоматическое определение MDI/MDIX на всех портах
• Метод коммутации: Store-and-forward
• Ethernet/Fast Ethernet: Полный дуплекс/полудуплекс
• Управление потоком IEEE 802.3x
• Функция Plug-and-play
o Коммутационная матрица 3.2 Гбит/с
• IEEE 802.3 10BASE-T Ethernet (медная витая пара)
40
• IEEE 802.3u 100BASE-TX Fast Ethernet (медная витая пара)
• ANSI/IEEE 802.3 NWay автоопределение скорости и режима работы
• Управление потоком IEEE 802.3x
В сети выделено 2 сегмента:
-серверный сегмент;
- пользовательский сегмент.
Доступ в Интернет организован по выделенной линии по технологии
ADSL со скоростью до 10 мбит/сек.
В качестве ADSL-модема используется D-Link DCM-202.
В состав серверной фермы входят следующие серверы:
файловый;
сервер баз данных;
почтовый сервер;
сервер управления.
В качестве аппаратной основы серверов используются решения от IBM –
сервера модели x3550 Express.
Основные параметры сервера приведены ниже:
Четырехядерный процессор Intel® Xeon® E5320, 1.86ГГц
(масштабируется до двух).
Быстродействующая память 2х512МБ, 667МГц (максимальный
объем 32ГБ).
Диски SAS или SATA с "горячей" заменой (до 2.4ТБ или 4.0ТБ
соответственно).
Технология предсказания сбоев Predicitive Failure Analysis1.
Стандартная гарантия 3 года с обслуживанием на месте.
В комплекте с устройством поставляется специализированное
программное обеспечение - IBM Director 6.1 и IBM Systems Director Active
Energy Manager.
В качестве устройства резервирования данных используется дисковая
система IBM System Storage DS3200, которая имеет собственное программное
обеспечение управления резервированием информации.
Основные характеристики этой системы приведены ниже.
41
Масштабируемость до 3,6 Тб при использовании дисков SAS
объемом 300 Гб с возможностью горячей замены.
Упрощение развертывания и управления с помощью DS3000 Storage
Manager.
Возможность дополнительного подключения до трех дисковых
полок EXP3000 общим объемом 14,4 Тб.
Интерфейс - Serial Attached SCSI
Защита сети осуществляется за счет применения антивирусной программы
и программного брандмауэра. Кроме того, внедрена политика разделения прав
доступа к ресурсам сети и выделены фронтальный участок сети и внутренние
участки.
Пользовательский сегмент сети разделен на фрагменты в соответствии с
организационным делением ООО. Для облегчения обслуживания и ремонта
оргтехники на всем предприятии используются однотипные рабочие станции
Depo Ego 8510 mn и многофункциональные устройства Brother DCP-9010CN,
технические характеристики которых приведены в таблице 1.7 и в таблице 1.8.
Таблица 1.7
Технические характеристики рабочих станций
Наименование
характеристики
Значение характеристики
Корпус
Минитауэр
Процессор
Amd Athlon 64 x2 4400+ 2.3 ггц
Оперативная
память
Pc6400 ddr2 sdram
• 1 гб 240-конт. Dimm
Жесткий диск
160 гб • serial ata 1.0 • 7200 об./мин.
Схема используемой программной архитектуры представлена на рисунке
1.4.
42
MS Windows
Server 2008
Файловый
сервер
Почтовый
сервер
MS exchange
server 2008
MS Windows
Server 2008
MS Windows
Storage Server
2008
MS IE 8
MS Office 2010
MS Outlook
2010
Kaspersky Enterprise
Space Security
MS Windows 7
HTTP
HTTP
АРМ сотрудника
"1С:Управление
торговлей 8.2"
"1С:Предприятие
8.2"
"1С:Бухгалтерия
8.2"
"1С:Зарплата и
кадры 8.2"
АРМ сотрудника бухгалтерии
Серверная часть
СУБД
MS SQL
АРМ администратора
системы безопасности
АРМ системного
администратора
АРМ видеоконтроля
MS Office
2010
MS Outlook
2010
Kaspersky
Enterprise Space
Security
АРМ НСО
Kaspersky
Enterprise Space
Security
Kaspersky
Enterprise Space
Security
MS Office
2010
MS Outlook
2010
Kaspersky
Enterprise Space
Security
АРМ АСИБ
MS Office
2010
MS Outlook
2010
Kaspersky
Enterprise Space
Security
АРМ СВН
"1С:Управление
торговлей 8.2"
"1С:Предприятие
8.2"
"1С:Бухгалтерия
8.2"
"1С:Зарплата и
кадры 8.2"
TCP/IP, POP3/SMTP/IMAP
TCP/IP, POP3/SMTP/IMAP TCP/IP, POP3/SMTP/IMAP
MS Windows 7
Windows Server 2010 Enterprise
Edition
MS Windows 7 MS Windows 7 MS Windows 7
Рисунок 1.4 Схема программной архитектуры
В соответствии с представленной схемой, в качестве операционной
системы на АРМ пользователей используется Windows 7 SP2, в качестве
серверной - Windows Server 2008 Enterprise Edition.
В качестве пакета офисных приложений установлен MS Office 2010,
включающий в себя MS Word 2010, MS Excel 2010. Кроме того, на АРМ
пользователей установлен почтовый клиент MS Outlook 2010. В качестве
обозревателя страниц Интернет используется браузер MS Internet Explorer 8.0.
В комплекте серверами поставляется специализированное программное
обеспечение - IBM Director 6.1 и IBM Systems Director Active Energy Manager.
Для организации выделенного файлового сервера и сервера печати
используется Windows Storage Server 2003 R2, предназначенный для построения
высоконадежных, легко интегрируемых и экономичных сетевых устройств
43
хранения. Windows Storage Server 2003 R2 является идеальным решением для
консолидации файловых серверов, позволяющим организовать
централизованное управление устройствами хранения на основе политик и
значительно снизить эксплуатационные расходы.
Для автоматизации деятельности бухгалтерии используется программный
комплекс 1С Бухгалтерия 2.0, для автоматизации деятельности отдела продаж –
1С Управление торговлей. Для хранения данных используется СУБД Oracle
Standard Edition One. Таким образом, вся информация, которая является
информационными активами, хранится в этих базах данных.
Для защиты от вирусов на предприятии используется McAfee Active
Protection.
Кроме указанных мер, в целях обеспечения информационной
безопасности в компании разработана и применяется система видеонаблюдения.
Система построена на использовании видеокамер Panasonic WV-BP334/
Схема расположения камер и элементов СКУД в здании ООО «Спарта»
приведена на рисунке 1.5.
Рисунок 1.5 Схема расположения камер в здании ООО «Спарта»
44
Результаты оценки действующей системы безопасности информации
приведены в таблице 1.8.
Таблица 1.8
Анализ выполнения основных задач по обеспечению информационной
безопасности
Основные задачи по обеспечению
информационной безопасности
Степень выполнения, %
Обеспечение антивирусной защиты
50
Организация работы защищенного
документооборота
60
Предотвращение утечек информации по
каналам ПЭМИН
70
Защита информации, хранимой в БД
60
Организация разграничения и защиты
информации в информационной системе
компании
50
Обеспечение безопасности в ходе
переговоров, встреч и тому подобное
90
Обеспечение охраны здания и особо
важных помещений
90
1.2.5 Оценка рисков
Построение любой системы защиты - это мероприятие, сопряженное с
определенными затратами.
Оценка рисков ставит своими задачами определение возможных потерь
(финансовых, репутационных и пр.) и определение стоимости мер (решений),
направленных на построение системы защиты (нивелирование негативных
последствий).
Оценку рисков рассчитывают по формуле
R=W*S,
где W - вероятность возникновения негативного события (вероятность
реализации угрозы); S - стоимость актива.
Вероятность возникновения негативного события (реализация угрозы)
может определяться двумя способами:
* на основании статистических данных (количественная оценка);
45
* на основании экспертной оценки (качественная оценка).
Для количественной оценки используются сведения, накопленные самой
организацией и другими организациями, осуществляющими деятельность в
одной области (секторе экономики). Для более или менее точной оценки
необходимы статистические данные, накопленные за период не менее одного
года.
При отсутствии данных, позволяющих провести количественную оценку,
проводится качественная оценка. Лучше всего ее поручить специалистам в
области информационной безопасности. Качественная оценка заключается в
определении вероятности наступления того или иного негативного события на
основании теоретических исследований.
Определение стоимости актива является весьма сложной процедурой.
Существует несколько подходов в определении стоимости актива:
* по ценности (стоимости) информации (самая сложная, но и самая
точная (верная) процедура);
* по стоимости средств обработки информации, используемых для
обработки соответствующих (конкретных) сведений, технических и программ-
ных средств.
В условиях отсутствия корректных данных о стоимости информации и в
случае, когда стоимость средств обработки информации не является величиной
допустимой для использования в процедуре оценки рисков, вполне логично
оценить риск, исходя:
* из предполагаемой стоимости «простоя» сервисов (например,
недоступность базы данных и, как следствие, невозможность оказания услуг
клиентам);
* из стоимости восстановительных процедур (например,
восстановление доступа к базе данных);
* из стоимости компенсационных выплат и штрафов (например,
возможная стоимость компенсационных выплат субъекту персональных данных,
чьи данные были утеряны, или украдены, или уничтожены, или ошибочно
пересланы куда-либо) и т.д.
46
В данном случае формула R=WS уже не используется, а работа по оценке
риска является процедурой, проводимой специалистами (экспертами) в области
информационной безопасности и специалистами (экспертами) бизнес-
подразделений (бизнес-экспертами).
На основании определения угроз активам и на основании моделирования
действий (бездействия) нарушителя строится модель угроз и нарушителя. Это
документ, в котором описываются и категорируются конкретные угрозы,
которые могут быть реализованы (допущены) нарушителем того или иного типа;
описываются и категорируются нарушители и возможные сценарии воз-
никновения, развития негативных событий; описываются каналы реализации
угроз (каналы атак) и другие сущности.
Исходя из модели угроз и нарушителя и оценки рисков составляется карта
рисков. Это документ, в котором применительно к каждому активу (типу, классу
актива) указываются возможные сценарии потери свойств актива и приводятся
результаты оценки рисков применительно к тому или иному активу
(последствия).
Многие документы содержат рекомендации по выбору методики
(например, ГОСТ Р ИСО/МЭК 13335-3-2007) или просто вариант методики
(например, готовятся к выходу "Рекомендации в области стандартизации Банка
России" РС БР ИББС-2.2, "Методика оценки рисков нарушения ИБ").
В этих и других методиках, хорошо известных специалистам,
предлагаются различные способы сопоставления возможных последствий
реализации угрозы с вероятностью ее реализации и получения соответствующих
выводов.
В зависимости от "математизации" этой процедуры сопоставления и
выводов методики иногда делят на качественные, полуколичественные и
количественные.
При этом можно встретить точку зрения, что количественные методы в
принципе лучше качественных, и лишь недостаток точных данных (например,
статистики инцидентов) не дает пока возможности полностью перейти на их
использование, а если бы удалось еще сделать оценку последствий в денежных
единицах, то проблема оценки рисков вообще перестала бы быть проблемой.