сфальсифицировать уникальный признак очень сложно, а порой и невозможно.
Для реализации доступа в помещение по отпечаткам пальцев биометрический
считыватель ST-FR031ЕM (как использует оптическую технологию считывания,
которая отличается не только дешевизной, но и более высокой надежностью.
При этом, в условиях малых и средних по численности людей организаций,
например бизнес-центров на 300-500 человек, ST-FR031EM позволяет
организовать биометрический контроль для персонала, а гостям использовать
RFID-карты доступа стандарта Em Marine.
Устройство разблокировки дверей ST-ER115 (рисунок 2.4) рекомендуется
к использованию для разблокировки электрически управляемых замков в
экстренных случаях с внутренней стороны на выход, например, при эвакуации
людей. Устройство комплектуется пластиковой восстанавливаемой вставкой, что
позволяет быстро и без дополнительных расходов (замена при использовании
стеклянных вставок) восстановить нормальный режим эксплуатации дверей
после осуществления эвакуации.
Рисунок 2.4 Устройство разблокировки дверей ST-ER115
2.2.2 Контрольный пример реализации проекта и его описание
Timex - универсальное программное обеспечение, предназначенное для
построения систем контроля доступа, учета рабочего времени, контроля
маршрутов, использующих биометрические и радиочастотные технологии
идентификации, а так же поддерживающее интеграцию со сторонними
системами телевизионного наблюдения и охранно-пожарной сигнализации.
Перед выполнением действий, описание которых приведено в данной
инструкции, на сервере и компьютере пользователя необходимо установить
программное обеспечение в соответствии с Инструкцией по установке ПО
Timex.
Рабочее окно Timex приведен на рисунке 2.5.
Рисунок 2.5 Рабочее окно Timex
ПО Timex имеет модульную структуру, что обеспечивает возможность
конфигурирования системы в соответствии с потребностями заказчиков.
Программные модули могут использоваться независимо для выполнения своих
узкоспециализированных функций, а также в сочетании с другими модулями.
Компоненты, входящие в состав ПО Timex, и их функции приведены в
таблице 2.2.
Таблица 2.2
Компоненты, входящие в состав ПО Timex
Компонент
Функция
Модули
Timex Base
Основной модуль системы (ядро, база данных
сотрудников).
Timex AC
Автоматизация контроля пропускного режима и
управление исполнительными устройствами.
Timex TA
Учет рабочего времени и регистрация нарушений
трудовой дисциплины.
Timex Checkpoint
Визуальная верификация сотрудников в пунктах
доступа.
Timex ID
Создание шаблонов пропусков, печать.
Timex RD
Создание/редактирование отчетов.
Timex SDK
Средства разработчиков для интеграции со
сторонними системами.
Утилиты
Timex Activation
Генерация запроса лицензии, активация Timex.
Timex Sql Link
Настройка доступа к SQL-серверу, создание базы
данных (БД) Timex, настройка доступа к БД,
настройка доступа к службе Timex Server Service.
IP Changer
Изменение IP-адреса устройств и контроллеров.
DatabaseToolset
Резервное копирование, восстановление, проверка
целостности БД.
Patch
Обновление БД с предыдущей версии до текущей.
Help
Справочная система.
Службы
Timex Server Service
Контроль обновления базы в реальном времени,
передача пользователям информации об изменениях
в базе.
Timex Device Service
Связь с устройствами, загрузка данных.
Timex SDK Service
Взаимодействие с Timex SDK.
TimexWatchdog Service
Контроль работы остальных служб, их перезапуск
при необходимости.
При установке основного приложения Timex устанавливаются все
программные модули, и доступ к данным модулям открывается при наличии
соответствующей лицензии.
Лицензия для работы с Timex записывается в HASP-ключ, который может
быть подключен к любому ПК в локальной сети.
При работе Timex может взаимодействовать с устройствами Smartec, ZK
Software и Sagem.
Timex может использоваться в качестве подсистемы в составе систем
контроля и управления доступом (СКУД) компаний Keri Systems, Lenel и Hirsch
Electronics.
ПО Timex может использоваться с одной из ОС, установленных на
сервере или компьютере пользователя:
• Microsoft Windows Vista Service Pack 2 (32/64 бит);
• Microsoft Windows 7 (Professional, Enterprise, Ultimate) Service Pack
1 (32/64 бит);
• Microsoft Windows 8 (32/64 бит);
• Microsoft Windows 8.1 (32/64 бит);
• Microsoft Windows Server 2008 R2 Service Pack 1 (32/64 бит);
• Windows Server 2012 (64 бит).
Установка ПО Timex предусматривает три варианта:
• автоматическая полная установка;
• автоматическая установка клиентского ПО на компьютере
пользователя;
• выборочная ручная установка.
В верхней строке окна (см. рисунок выше) расположено его название. В
правом верхнем углу находятся стандартные кнопки, позволяющие
свернуть/изменить размер/закрыть окно.
Ниже названия утилиты находятся вкладки для быстрого перехода от
выполнения основных функций (вкладка Главная), к настройке внешнего вида
окна (вкладка Вид) или к справочной системе (вкладка Справка).
Для выполнения действий с устройствами перейдите на страницу
Системы -> Терминалы.
Кнопки для выполнения операций с терминалами/контроллерами
расположены в группах Терминалы, События, Полная реконфигурация и
Дополнительно на ленте быстрого доступа.
Операции выполняются только для выбранных устройств, можно выбрать
несколько устройств для выполнения требуемой операции с использованием
стандартных клавиш группового выбора Shift и Ctrl.
Чтобы начать работу с системой, необходимо добавить терминал или
контроллер. При добавлении сетевых устройств надо учитывать, что все они
поставляются, как правило, одним сетевым адресом 192.168.1.201. Во избежание
конфликтов сетевых адресов следует включать устройства в сеть и добавлять по
одному или предварительно настраивать адреса средствами меню устройства
(для устройств с дисплеем и клавиатурой). IP-адрес устройства, установленный
по умолчанию, можно поменять на уникальный в Мастере добавления нового
устройства или уже после добавления устройства - в подокне Настройки
терминала.
Рисунок 2.6 Подключение нового устройства
Схема программного обеспечения с учетом элементов системы защиты
информации приведена на рисунке 2.7.
TCP/IP
Сервер
1С Бухгалтерия 2.0
MS Office 2007
McAfee Active
Protection
Outpost Security
Suite Service
Windows 7 Professional Edition 32 bit
1С Управление
торговлей
MS Off ice 2007
McAfee Active
Protection
Outpost Security
Suite Service
Hidden
Administrator
MS Office 2007
McAfee Active
Protection
Outpost Security
Suite Service
TCP/IP
TCP/IP
TCP/IP
АРМ сотрудников ИТ-
отдела
АРМ бухгалтеров
АРМ сотрудников
McAfee Active
Protection
Lotus
Windows 7 Professional Edition 32 bit
Windows 7 Professional Edition 32 bit
Сервер
Бастион-Elsys
К сетевым контроллерам
АРМ администратора СКУД
Windows 7 Professional Edition 32 bit
MS Off ice 2007
McAfee Active
Protection
Outpost Security
Suite Service
Windows 7 Professional Edition 32 bit
MS Office 2007
McAfee Active
Protection
Outpost Security
Suite Service
АРМ контролера СКУД
Сервер СКУД
Oracle
Timex Free,
Timex Base
Timex AC
Timex TA
Timex GT
Timex Checkpoint
Timex ID
Timex RD
MS SQL Server 2008 R2 Express
Рисунок 2.7 Схема программного обеспечения с учетом элементов
системы защиты информации
Схема расположения элементов СКУД на плане помещений приведена на
рисунке 2.8.
Вниз
Вниз
РМ 1.1
РМ 1.3
РМ 1.4
РМ 1.5
РМ 1.6
РМ 1.8
РМ 1.9
Серверная
РМ 1.6
САМ 1.8
1
2
Программное обеспечение Timex
Контроллер ST-NC441B
3
3 3
3
3
3
Smartec ST-FR031EM+ST-ER115
Рисунок 2.8 Схема размещения элементов СКУД
3 ОБОСНОВАНИЕ ЭКОНОМИЧЕСКОЙ ЭФФЕКТИВНОСТИ
ПРОЕКТА
3.1 Выбор и обоснование методики расчёта экономической
эффективности
Проблема определения и построения качественной и стабильной системы
информационной безопасности для компаний, функционирующих в различных
отраслях экономики, часто является одной из самых важных задач, требующих
оперативного, грамотного, научно и технически обоснованного решения.
Внедрение современной IT-системы и средств коммуникаций в рабочий процесс
государственных организаций и коммерческих компаний, кроме заметных
положительных сторон, имеет также отрицательный момент, связанный в
первую очередь с открывающейся перспективой реализации преступлений с
использованием различной электронной аппаратуры и персональных
компьютеров. В качестве объекта таких преступлений чаще всего выступает
экономическая ИС и, соответственно, находящаяся в ней коммерческая, научная,
производственная и другая информация.
Экономическая информационная система рассматривается как
совокупность внутренних и внешних потоков обратной и прямой
информационной связи самого объекта, методов, специфик, технологов, которые
участвуют в процессе обработки данных и определении управленческих
решений. Взаимосвязь потоков данных прямой и обратной информационной
связи, средств обработки, передачи и сохранения информации, а также
пользователей, которые являются частью управленческого аппарата и
выполняют операции по переработке данных, позволяет создавать ИС
экономического объекта. Следовательно, любой системе управления
экономическим объектом соответствует собственная ИС, которую можно
назвать экономической информационной системой. Сегодняшний уровень
информатизации общества заранее определяет использование инновационных
технических, технологических, программных средств в различных ИС
экономических объектов. В последствии экономический объект является таким
объектом, который связан с производством материальных или нематериальных
благ и имеет собственную систему контроля.
Подобная система контроля представляет собой взаимосвязь объекта
управления, например предприятия, и субъекта управления. Последний может
объединять в себе сотрудников, составляющих цели, строящих планы,
разрабатывающих требования к принимаемым решениям, а также
координирующих их выполнение. Задачей объекта управления является
выполнение планов, поставленных управленческим аппаратом, то есть
осуществление той деятельности, для которой строилась система управления в
принципе. Оба компонента системы управления образуют прямую и обратную
связь. Прямая связь выражается потоком направленных данных от
управленческого аппарата к элементу управления, а обратная представляет из
себя поток отчетной информации о успешном или неуспешной выполнении уже
принятых решений, который уже направлен в обратном направлении.
Методы нарушению информационной безопасности предполагают
применение различных средств для осуществления компьютерных
преступлений, направленных на экономические ИС. Компьютерные
преступления могут быть применены непосредственно на персональный
компьютер или его составные части, ЛВС, базу данных, системное ПО и т.д. В
отдельных случаях, при реализации преступлений подобного рода, в качестве
объекта для нападения могут выступать отношения сотрудников, нарушение
которых приводит к потере доверия к приходящей информации, неразглашение
несанкционированного доступа и т.д. Таким образом, ЭИС является объектом
особого внимания со стороны разных классов нарушителей, и обеспечение
безопасности ИС на сегодняшний день является актуальной задачей.
Развитие мировой компьютерной Интернет-сети предопределяет
появление ранее неизвестных каналов несанкционированного доступа к
информационным данным. В числе факторных групп, которые могут
активировать распространение компьютерных преступлений, нужно выделить:
экономические, технические и правовые. К первой группе можно отнести
развитие рыночных взаимоотношений, изменение формы собственности,
отсутствие государственного регулирования в экономике, развитие новой сферы
предпринимательской деятельности, которая подразумевает информационный
бизнес и др. Конкуренция выявляет необходимость владения соответствующей
информацией, характеризующей многие аспекты бизнес-процессов и
деятельности компании. Обычно эти сведения касаются цен и объемов поставок
товаров по контрактам, финансовое положение компании и перспективы ее
дальнейшего развития, содержание и дата вступления в законную силу
нормативных актов, и многое другое. Причем какие данные могут относиться
как к процессу работы государственных органов и коммерческих подразделений,
так и отдельных лиц. В любом случае, имея на руках необходимые данные, ее
владелец может вполне адекватно предпринять соответствующие меры по
исключению и недопущению отрицательных последствий изменения ситуации
по отношению к себе. Следовательно, если пользователь имеет какую-то
информацию и при этом нарушает правовые и этические нормы, то такие
действия могут пресекаться и преследоваться по закону, и это подробно
прописано в соответствующих статьях УК РФ. Ко второй группе относят такие
факторы, как: увеличение количества ПК, развитие компьютерных сетей и
коммуникаций, открытость и доступность большого количества ПО и т.д. И,
наконец, в третью группу входят правовые вопросы. Это объясняется, во
многом, неполноценностью многих юридических аспектов относительно
способов функционирования информации в качестве конкретного товара или
ресурса, сложной процедурой получения авторского права на программные
продукты. При анализе зарубежной и отечественной практики можно говорить о
важности решения проблемы обеспечения ИБ применительно к
информационной системе. В ЭИС право выбора средств и методов для
организации информационной безопасности принадлежит ее владельцу, который
исходит из своих материальных возможностей и существующих ограничений.
Технические решения по обеспечению безопасности ИС основываются на
заранее выработанных требованиях и условиях эксплуатации (качество защиты,
ее цена, расходы на амортизацию и поддержание информационной безопасности
и др.). Особую значимость при построении системы ИС включают вопросы
экономического обеспечения и увеличения жизненного цикла информационной
системы. К компонентам экономического обеспечения обычно относят
оптимизацию структуры системы безопасности с учетом ее эффективности и
затрат на обеспечение должного уровня ИБ, оценки эффективности
деятельности ИБ, методики выбора лучшего варианта ИБ с точки зрения
экономического развития, модели инвестиционной привлекательности и
возможности дальнейшего развития ИС.
Обычно оценка экономической эффективности системы информационной
безопасности включает в себя комплекс различных подходов и методик, как
классических общих подходов к оценке эффективности, так и специальных,
учитывающих особенности применения ИС. Отправной точкой при разработке
моделей эффективности ИБ становится определение, что с одной стороны, при
взломе системы защиты информации наносится ущерб, с другой стороны
построение и обеспечение ИБ тесно связано с расходованием материальных
средств. Разница стоимости защиты и потерь от ее взлома и нарушения ИБ с
учетом необходимого уровня защищенности и возможных потерь, дает
возможность рассчитать экономический эффект от внедрения СИБ. Расходы на
построение и ввод в действие СИБ сходны с инвестициями, поскольку также
подразумевают вложение средств, риски и получение прибыли. Под выгодой в
данном случае нужно понимать не поток денежных средств, а значительное
уменьшение потерь от возможных реализованных угроз.
Рассчитаем величины потерь для критичных информационных ресурсов
до внедрения СЗИ (таблица 3.1.).
Таблица 3.1
Величины потерь (рисков) для критичных информационных ресурсов до
внедрения СЗИ
Риск
Актив
Величина
потерь
(тыс.руб.)
Некомпетентное использование,
настройка или неправомерное
отключение средств защиты
Персональные данные
клиентов
21
Финансовая и налоговая
отчетность
17
Персональные данные
сотрудников
30
Сведения о денежных выплатах
сотрудникам
53
Сведения о выплатах в
42