осуществление маркетинговых исследований, связанных с изучением
сегментации рынка, анализом ценообразования и предпочтений потребителя,
прогнозом продаж и каналов реализации, открытием новых рынков, оценкой
эффективности рекламы, деятельностью конкурентов, и т.д.
анализ потребностей клиентов и границ ценообразования.
разработка стратегии проведения рекламных мероприятий.
контроль проведения рекламных компаний в средствах массовой
информации, прямой почтовой рассылке, Интернет и т.д.
организация разработки печатных рекламных материалов
собственными силами или силами сторонних организаций, их тестирование,
формирование предложений по дизайну печатных рекламных материалов.
предварительная оценку разработанных сторонними организациями
рекламных материалов.
Сотрудники отдела кадров осуществляют поиск новых сотрудников по
запросам из всех подразделений компании, а также ведут учет личной и служебной
информации о каждом сотруднике фирмы и других важных данных. Подготовка
всех документов на прием или увольнение также производится этим
подразделением.
В служебные обязанности сотрудника этого отдела включены:
• Подготовка кадровой политики и кадровой стратегии компании;
• Реализация деятельности подбору, отбору и расстановке кадров по
оценке их квалификации, личных и деловых качеств;
• Прием, размещение и расстановка молодых специалистов и рабочих в
соответствии с полученной в учебном заведении специальностью или профессией;
• Создание резервного фонда для выдвижения на основе таких
организационных форм, как планирование деловой карьеры, обучение кандидатов
для выдвижения по индивидуальным планам, перестановки в составе руководства
и специалистов, обучение на профильных курсах, прохождение стажировки на
отдельных направлениях;
• Проведение аттестации сотрудников, ее методическое и
информационное обеспечение, проведение анализа результатов аттестации,
составление мероприятий по реализации решений аттестационных комиссий,
выявление круга специалистов, которым нужно пройти повторную аттестацию.
Основной задачей бухгалтерии становится ведение бухгалтерского учета
имущества, обязательств и хозяйственных операций, правильное и своевременное
выведение результатов финансово-хозяйственной работы фирмы. В своей работе
бухгалтера основываются на действующем законодательстве РФ, инструкциях,
приказах, распоряжениях, правилах, Политике в области качества и остальными
документами, утвержденными гендиректором компании и утверждающими
деятельность бухгалтера.
В профессиональные обязанности сотрудника этого отдела включено:
• Реализация приема и контроля первичной документации по указанным
участкам бухучета и приведением их для счетной обработки;
• Подсчет зарплаты в программе 1С версия 7.7 «Зарплата и кадры»;
• Подсчет налогов по зарплате для всех сотрудников;
• Составление отчетов по фондам и отчет в налоговую по единому
социальному налогу;
• Составление и сдача персонифицированного учета в пенсионный
фонд, личных сведений по НДФЛ;
• Подготовка бухгалтерской документации для архивирования;
• Проведение работ по формированию, ведению и хранению
бухгалтерских данных;
• Выполнение различных служебных поручений главного бухгалтера
или генерального директора.
В должностные обязанности сотрудника ИТ-отдела входит:
установка на серверы и рабочие станции программного обеспечения;
интеграция программного обеспечения на файл-серверах, серверах
систем управления базами данных и на рабочих станциях;
поддержка рабочее состояние программного обеспечения сервера и
рабочих станций;
регистрация пользователей, назначение идентификаторов и паролей.
обучение пользователей работе в сети, ведению архивов;
составление инструкции по работе с сетевым программным
обеспечением и доведение их до сведения пользователей.
Контроль использования сетевых ресурсов.
Организация доступа к локальной и глобальной сетям.
Юрисконсульт выполняет проверку всех акций или мероприятий
проводимых в компании, для установления из законности по правовым аспектам
законодательства РФ.
Основными задачами секретариата являются организационные и
документационное обеспечение управленческой деятельности. Секретарь
подчиняется непосредственно директору предприятия.
Сервисный отдел - Поддерживает производственные ресурсы в рабочем
состоянии. Обеспечивает и повышает качество продукции.
Складская логистическая служба– отвечает за закупку и хранение расходных
материалов и компонентов для ремонта.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
В настоящее время функции организации и обеспечения информационной
безопасности выполняют сотрудники отдела информационных технологий по
поручению генерального директора.
Анализ рисков информационной безопасности проводится начальником
отдела информационных технологий, решение о его проведении принимается
также генеральным директором с различной периодичностью, чаще всего после
возникновения каких-либо утечек информации. Таким образом, в настоящее время
в компании нет продуманной стратегии по анализу рисков информационной
безопасности, анализ осуществляется от случая к случаю, фрагментарно и
неподготовленным для этого специалистом. Оценка рисков в результате
проведения анализа проводится в виде составления списка наиболее актуальных
угроз, которые могут угрожать целостности информационных активов компании в
ближайшее время.
В компании основными видами деятельности является деятельность по
взаимодействию с клиентами, а также деятельность по взаимодействию с
сотрудниками компании. Кроме того, используется также разработка
стратегических планов развития, получение и анализ данных по результатам
работы компании (статистическая деятельность).
В компании циркулирует информация конфиденциального характера,
содержащая сведения ограниченного распространения (служебная тайна,
коммерческая тайна, персональные данные), и открытые сведения.
Защите подлежит:
вся конфиденциальная информация и информационные ресурсы,
независимо от ее представления и местонахождения в информационной среде
компании:
сведения, составляющие коммерческую тайну, доступ к которым
ограничен собственником информации в соответствии с Федеральным законом "О
коммерческой тайне";
Служебные сведения, доступ к которым ограничен органами
государственной власти в соответствии с Гражданским кодексом РФ;
сведения о частной жизни граждан, позволяющие идентифицировать
его личность (персональные данные), доступ к которым ограничен в соответствии с
Федеральным законом "О персональных данных";
открытая информация, необходимая для обеспечения нормального
функционирования компании.
Перечень активов, подлежащих защите, приведен в таблице 1.2.
Таблица 1.2
Оценка информационных активов компании
Вид деятельности
Наименование
актива
Форма
предоставления
актива
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Количественна
я оценка (тыс.
руб)
Качественная
оценка
Работа с
клиентами
База данных
клиентов
Документы на
бумажных
носителях, БД в
компьютере
Сотрудники отдела
социальной защиты
Репутация
компании
78
имеющие
критическое
значение
Статистическая
деятельность
Финансовая и
налоговая
отчетность
Документы на
бумажных
носителях,
электронные
документы
Руководитель
компании,
Степень
доверия к
компании
90
имеющие
критическое
значение
Разработка ПО
Сведения о
выполняемых
проектах
Электронные и
бумажные
документы,
договора
Руководитель
компании
Степень
доверия к
компании
75
имеющие
критическое
значение
Статистическая
деятельность
Сведения о
финансовых
операциях
Электронные и
бумажные
документы, ценные
бумаги
Руководитель
компании, главный
бухгалтер
Степень
доверия к
компании
52
имеющие
среднее
значение
Разработка
стратегии
развития
Сведения о
политике
развития новых
направлений
деятельности
электронные и
бумажные
документы
Руководитель
компании, ,
сотрудники отдела
маркетинга
Степень
доверия к
компании
90
имеющие
критическое
значение
Работа с
клиентами
Сведения о
выплатах в
компании
Электронные и
бумажные
документы
Руководитель
компании, гл.
бухгалтер
Степень
доверия к
компании
78
имеющие
критическое
значение
Разработка
стратегии
развития
Перечень
платежных
документов
Электронные и
бумажные
документы
Руководитель
компании
Степень
доверия к
компании
70
имеющие
высокое
значение
Взаимодействие с
сотрудниками
Личные сведения
о сотрудниках
фирмы
Трудовые
контракты и
электронные
документы
Руководитель
компании, главный
бухгалтер,
сотрудники отдела
кадров
Защищенность
персональных
данных
50
имеющие
среднее
значение
Взаимодействие с
сотрудниками
Сведения о
заработной плате
работников
Электронные и
бумажные
документы
Руководитель
компании, главный
бухгалтер,
сотрудники отдела
кадров
Защищенность
персональных
данных
76
имеющие
критическое
значение
Статистическая
деятельность
Сведения о
результатах
деятельности
документы на
бумажных
носителях,
электронные
документы
Руководитель
компании
Степень
доверия к
компании
69
имеющие
высокое
значение
Перечень сведений конфиденциального характера компании приведен в
таблице 1.3.
Таблица 1.3
Перечень сведений конфиденциального характера компании
№
п/п
Наименование сведений
Гриф
конфиденциал
ьности
Нормативный
документ, реквизиты,
№№ статей
1.
Сведения о программном
обеспечении, принципах
построения, структуре и составе
оборудования корпоративной
информационной системы
(КИС) компании
КТ
Указ Президента РФ от 6
марта 1997 года № 188,
ФЗ РФ от 29 июля 2004 г.
N 98-ФЗ О коммерческой
тайне, ФЗ РФ от 27 июля
2006 г. N 149-ФЗ "Об
информации,
информационных
технологиях и о защите
информации"
2.
Входящая и исходящая
корреспонденция (в том числе в
электронном виде)
КТ
ФЗ РФ от 29 июля 2004 г.
N 98-ФЗ О коммерческой
тайне
3.
Персональная информация о
клиентах и сотрудниках
контрагентов
КТ
З РФ от 27 июля 2006 г. N
152-ФЗ "О персональных
данных"
4.
Бухгалтерские и финансовые
сведения, в том числе
документы по установленным
формам отчетности о
финансово-хозяйственной
деятельности
КТ
ФЗ РФ от 29 июля 2004 г.
N 98-ФЗ О коммерческой
тайне
5.
Сведения, раскрывающие
систему организации и
состояние сохранности
коммерческой тайны в
Компании, методы и способы
защиты конфиденциальной
информации от утечки, утери
или искажения
КТ
ФЗ РФ от 27 июля 2006 г.
N 149-ФЗ "Об
информации,
информационных
технологиях и о защите
информации", ФЗ РФ от
29 июля 2004 г. N 98-ФЗ
О коммерческой тайне
6.
Система организации и
разграничения доступа в КИС,
идентификаторы и пароли,
используемые сотрудниками
компании для доступа к
информации
КТ
ФЗ РФ от 27 июля 2006 г.
N 149-ФЗ "Об
информации,
информационных
технологиях и о защите
информации"
7.
Сведения о фактах, событиях и
обстоятельствах частной жизни
сотрудников компании,
ФЗ РФ от 27 июля 2006 г.
N 152-ФЗ "О
персональных данных",
позволяющие
идентифицировать их личность
(персональные данные)
Трудовой кодекс
Российской Федерации от
30 декабря 2001 г. № 197-
ФЗ (ТК РФ)
Активы, имеющие наибольшую ценность и поэтому выбранные в качестве
объекта защиты информации, приведены в таблице 1.4.
Таблица 1.4
Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
Персональные данные клиентов
5
Финансовая и налоговая отчетность
5
Персональные данные сотрудников
4
Сведения о денежных выплатах сотрудникам
3
Сведения о выплатах в компании
3
Входящая и исходящая корреспонденция
2
Перечень платежных документов
2
1.2.2 Оценка уязвимостей активов
Оценка уязвимостей в рассматриваемой компании проводится на основании
распоряжении генерального директора.
Оценка уязвимостей информационных активов в компании проводится в
соответствии с нижеприведенным алгоритмом и этапами.
Определение уязвимостей актива - это экспертная оценка, основанная на
изучении свойств актива и выявлении характеристик актива, которые могут быть
использованы теми или иными угрозами.
Выявление (определение) перечня угроз допустимо начать с анализа
деструктивных факторов, приведенных в ГОСТ Р 51275-99 «Объект
информатизации. Факторы, воздействующие на информацию».
Применительно к организациям, работающим с информацией
конфиденциального характера, наиболее актуальными факторами являются:
• дефекты, сбои, отказы, аварии технических средств и систем;
• дефекты, сбои и отказы программного обеспечения;
• разглашение защищаемой информации лицами, имеющими право доступа к
ней;
• неправомерные действия со стороны лиц, имеющих право доступа к
защищаемой информации;
• несанкционированный доступ к защищаемой информации;
• неправильное организационное обеспечение защиты информации;
• ошибки обслуживающего персонала;
• блокирование доступа к защищаемой информации путем перегрузки
технических средств обработки информации ложными заявками на ее обработку.
На основе сопоставления выявленных угроз и факторов, воздействующих на
активы, необходимо составить перечень актуальных угроз (т. е. именно тех
конкретных угроз, которые могут воздействовать на актив). Составление перечня
актуальных угроз лучше всего поручить специалистам, имеющим
соответствующий опыт в данной области (экспертам).
Результаты оценки уязвимостей формируются в виде списка, где напротив
каждой уязвимости приводится назначенная ей оценка риска ИБ, вероятности
реализации угроз, оценка стоимости актива.
Результаты оценки уязвимости активов приведены в таблице 1.5.