36
(окупаемость), добавленная стоимость (Economic Добавленная стоимость,
EVA);
• методы оценки затрат, основными из которых являются определение
общей стоимости владения (TCO) и ее производных инструментов, таких как
реальная стоимость владения (Реальная стоимость владения, RCO), общая
стоимость владения заявками (Общая стоимость Заявка на участие TCA);
• Комплексные методы оценки набора финансовых и нефинансовых
показателей эффективности (показатели эффективности Keu, KPI), такие как
Balanced Scorecard (BSC), модель заинтересованных сторон и пирамида
производительности Lynch and Cross.
Каждая из перечисленных выше групп методов имеет свой собственный
набор преимуществ и недостатков, предпочтительную область применения,
долю конструктивности и способность интегрироваться в стратегию развития.
Реализация любого из предложенных методов затруднена общими
трудностями для всех групп. Невозможно рекомендовать кого-либо из них в
качестве панацеи. Объем их результатов ограничен коммерческими
предприятиями, заинтересованными в получении прибыли. В других случаях,
например, в государственных структурах, внедрение информационных систем
может включать достижение других целей, которые не могут быть
представлены в денежном выражении, соответственно, а процедуры принятия
решений по внедрению ИС принципиально различны.
37
ГЛАВА 2. АНАЛИЗ ПРЕДПОСЫЛОК К
ПРОЕКТИРОВАНИЮ КОМПЛЕКСНОЙ СИСТЕМЫ
ЗАЩИТЫ ИНФОРМАЦИИ ООО «МФО АЛЬЯНС»
2.1. Организационно-экономическая характеристика
деятельности предприятия ООО «МФО Альянс»
ООО «МФО АЛЬЯНС» зарегистрирована по адресу: 119049, г Москва,
улица Коровий Вал, дом 7 СТРОЕНИЕ 1, ПОМЕЩЕНИЕ 1. Генеральный
Директор - Туров Дмитрий Витальевич. Основным видом экономической
деятельности является "предоставление прочих финансовых услуг, кроме
услуг по страхованию и пенсионному обеспечению, не включенных в другие
группировки". Также ООО "МФО АЛЬЯНС" работает еще по 4 направлениям.
Размер уставного капитала 40 000 000,00 руб. Организация насчитывает 0
филиалов. Имеет 0 лицензии. ОБЩЕСТВО С ОГРАНИЧЕННОЙ
ОТВЕТСТВЕННОСТЬЮ МИКРОФИНАНСОВАЯ ОРГАНИЗАЦИЯ
"АЛЬЯНС" присвоен ИНН 7709932969, КПП 770601001, ОГРН
1137746607041 , ОКПО 17866235 Действует с 17.07.2013
2.2. Функциональная и информационно-технологическая
инфраструктура ООО «МФО Альянс»
Техническая база ООО «МФО Альянс» включает в себя:
1) 100 персональных компьютеров;
2) 30 многофункциональных устройств Kyocera Task Alpha 180.
Разрабатываемая информационная система необходима для отображения
текущей сводки данных по используемым средствам вычислительной техники
и периферийным устройствам. Обслуживание информационной системы не
38
требует специальных знаний и навыков, для работы с программой достаточно
владения персональным компьютером на уровне пользователя.
Для анализа накопленной информации создана модель данных,
называемая информационной. Данная модель позволяет проследить весь
процесс работы промежуточных операций над данными, начиная вводом и
заканчивая выводом результатов в необходимом виде [16].
В настоящий момент в ООО «МФО Альянс» нет автоматизированного
рабочего места. Данные о продуктах хранятся в таблице Microsoft Excel,
оформление заявок, данные клиентов и выписка накладных осуществляются
на бумажных носителях при помощи шаблона, данные в который заносятся
ручным способом. После выполнения работ создается акт выполненных работ,
который выдается клиенту после оплаты заявки.
В ООО «МФО Альянс» через менеджера по работе с клиентами проходит
очень большой поток информации, который нуждается во вводе в базу,
обработке и хранении. Некоторые данные приходится заносить в бланки
несколько раз, что увеличивает время обслуживания клиента, а
соответственно влияет на его мнение о предприятии.
Также существующая система учета заявок:
─ не обеспечивает достоверность результатов из-за дублирования
информации;
─ не позволяет оперативно реагировать и управлять из-за сложности
обработки информации;
─ требует высокой трудоемкости для обработки информации.
Таким образом, существующая в ООО «МФО Альянс» система обработки
заявок является малопродуктивной, тем более в условиях роста и развития
предприятия, увеличения числа клиентов. Для повышения
конкурентоспособности необходима автоматизация бизнес- процессов.
Модель проектировалась в среде BPwin в идеологии IDEF0.
39
Определим внутренние процессы, протекающие на объекте
автоматизации, как внутри отдельных подразделений, так и при
взаимодействии между ними. Составим список основных внутренних
процессов:
− ведение отчетной документации по выполненной работе;
− ведение документации о принятых заявках;
− ведение документации о финансовом состоянии;
− ведение документации о принятых платежах;
− выдача указаний структурным подразделениям по организации рабочих
процессов;
− формирование задания по заявке на выполнение работ и услуг;
− создание проектов и различных схем для реализации работ;
− повышение квалификации сотрудников
Взаимосвязь внутренних и внешних процессов взаимодействия показана
на рисунках 2.1 , 2.2.
Рисунок 2.1 - Внутренняя модель деятельности предприятия в
идеологии IDEF0
40
Рисунок 2.2. - Схема декомпозиции деятельности предприятия в
идеологии IDEF0
В качестве выходной информации выступает оформленный заказ в виде
документов (смета, договор и акт), а также отчёты. Все сформированные
документы можно вывести на принтер.
Итак, процесс декомпозиции бизнес процессов ООО «МФО Альянс»
позволяет выявить структуру будущей базы данных.
2.3. Текущее состояние уровня информационной безопасности
предприятия
На сегодняшний день локальная компьютерная сеть (ЛКС) предприятия
объединяет 15 компьютеров, спроектированная по стандарту Ethernet 10 Base-
T, скорость передачи данных в сети - 10 Мбит / с. Для объединения
компьютеров используется три коммутатора: два восьмипортовый, один -
двадцати портовый.
Компьютеры подключаются к порту switch с помощью розетки RJ-45, а
к розетке с помощью коннектора RJ-45. Сеть строится на основе логической и
41
физической топологии «звезда». Структурная схема существующей ЛКС
компании ООО «МФО Альянс» изображена на рисунке 2.3.
В связи с увеличением количества рабочих станций до 21 и с возросшей
нагрузкой, так же возросли требования к безопасности, существующей сети.
Понадобилась серьезная модернизация, включающая в себя обновление
сетевого оборудования. Особое внимание необходимо уделить безопасности
сети, включающей в себя не только угрозы «извне», но, так же охватывает
такие аспекты как защита сети и сотрудников от атак, основанных на
использовании социотехники и защита от инсайдеров.
Рисунок 2.3 - Структурная схема существующей ЛКС компании ООО
«МФО Альянс»
Данная задача решается путем создания на предприятии комплексной
системы защиты.
42
2.4. Угрозы несанкционированного доступа к цифровым
документам ООО «МФО Альянс»
Согласно ГОСТ Р 50922-96 «Защита информации. Основные термины и
определения» несанкционированный доступ (НСД) к информации –
деятельность, направленная на предотвращение получения защищаемой
информации заинтересованным субъектом с нарушением установленных
правовыми документами или собственником, владельцем информации прав
или правил доступа к защищаемой информации.
Заинтересованным лицом в данном случае может выступать:
государство;
юридическое лицо;
группа физических лиц или одно физическое лицо;
общественная организация.
Проблеме защиты информации от НСД посвящен ряд руководящих
документов ФСТЭК (соответственно, бывш. Гостехкомиссии). Определение
НСД там более узкое, чем в ГОСТе.
Несанкционированный доступ к информации - доступ к информации,
нарушающий правила разграничения доступа с использованием штатных
средств, предоставляемых средствами вычислительной техники (СВТ) или
автоматизированными системами (АС).
Под штатными средствами понимается совокупность программного,
микропрограммного и технического обеспечения средств вычислительной
техники или автоматизированных систем. Несмотря на это, действие
внедренной программной закладки ("червя" и т.п.), результатом которого
стало попадание защищаемой информации к злоумышленнику, также можно
рассматривать как факт НСД.
К основным угрозам НСД ООО «МФО Альянс» можно отнести
следующее:
43
угрозы проникновения в операционную среду компьютера с
использованием штатного программного обеспечения (средств операционной
системы или прикладных программ общего применения) ООО «МФО
Альянс»;
угрозы создания нештатных режимов работы программных
(программно-аппаратных) средств за счет преднамеренных изменений
служебных данных, игнорирования предусмотренных в штатных условиях
ограничений на состав и характеристики обрабатываемой информации,
искажения (модификации) самих данных и т.п.;
угрозы внедрения вредоносных программ (программно-
математического воздействия).
Кроме этого, возможны комбинированные угрозы, представляющие
собой сочетание указанных угроз ООО «МФО Альянс». Например, за счет
внедрения вредоносных программ могут создаваться условия для НСД
в операционную среду компьютера.
В общем случае, комплекс программно - технических средств и
организационных мер по защите информации от НСД ООО «МФО Альянс»
реализуется в рамках системы защиты информации от НСД (СЗИ НСД),
условно состоящей из следующих четырех подсистем:
управления доступом;
регистрации и учета;
криптографической;
обеспечения целостности.
Источником угрозы НСД ООО «МФО Альянс» может быть нарушитель,
носитель с вредоносной программой или аппаратная закладка. Модель
нарушителя – абстрактное (формализованное или неформализованное)
описание нарушителя.
44
При разработке модели нарушителя определяются следующие
предположения:
категория лиц, к которой относится нарушитель;
мотивы нарушителя;
цели нарушителя;
квалификация и техническая оснащенность нарушителя;
возможные действия нарушителя;
время действия (постоянно, в определенные интервалы).
Выделяют две категории нарушителей по отношению к АС – внутренние
и внешние. Внешними нарушителями могут быть:
разведывательные службы государств;
криминальные структуры;
конкуренты;
недобросовестные партнеры;
внешние субъекты (физические лица).
Таблица 2.1- Краткая характеристика наиболее опасных
уязвимостей ООО «МФО Альянс»
Наименование
протокола
Уровень стека
протоколов
Наименование
(характеристи
ка)
уязвимости
Содержание
нарушения безопасн
ости информации
FTP (File Transfer
Protocol) – протокол
передачи файлов по
сети
Прикладной,
представител
ьный,
сеансовый
Аутентифика
ция на
базе открыто
го
текста (парол
и
пересылаютс
я в
незашифрова
нном виде)
Доступ по
умолчанию
Наличие двух
открытых
портов
Возможность перех
вата
данных учетной
записи (имен
зарегистрированны
х пользователей,
паролей).
Получение
удаленного доступа
к хостам
45
telnet – протокол
управленияудаленным
терминалом
Прикладной,
представител
ьный,
сеансовый
Аутентификац
ия на
базе открытог
о
текста (пароли
пересылаются
в
незашифрован
ном виде)
Возможность перех
вата
данных учетной
записи (имен
зарегистрированны
х пользователей,
паролей).
Получение
удаленного доступа
к хостам
UDP – протокол
передачи данныхбез
установления
соединения
Транспортный
Отсутствие
механизма
предотвращен
ия перегрузок
буфера
Возможность
реализации UDР-
шторма.
В результате
обмена пакетами
происходит
существенное
снижение
производительност
и сервера
ARP – протокол
преобразования IP-
адреса в физический
адрес
Сетевой
Аутентификац
ия на
базе открытог
о
текста (инфор
мация
пересылается
в
незашифрован
ном виде)
Возможность
перехвата трафика
пользователя
злоумышленником
RIP – протокол
маршрутной
информации
Транспортный
Отсутствие
аутентификац
ии
управляющих
сообщений об
изменении
маршрута
Возможность
перенаправления
трафика через хост
злоумышленника
TCP – протокол
управленияпередачей
Транспортный
Отсутствие
механизма
проверки
корректности
заполнения
служебных
заголовков
пакета
Существенное
снижение скорости
обмена и даже
полный разрыв
произвольных
соединений по
протоколу TCP
DNS – протокол
установления
соответствия
мнемонических имен
и сетевых адресов
Прикладной,
представител
ьный,
сеансовый
Отсутствие
средств
проверки
аутентификац
ии
полученных
Фальсификация отве
та DNS-сервера