3
СОДЕРЖАНИЕ
Введение ....................................................................................................................................................... 5
1 Аналитическая часть ........................................................................................................................... 7
1.1 Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения) ................................................................................................... 7
1.1.1 Общая характеристика предметной области .................................................................... 7
1.1.2 Организационно-функциональная структура предприятия ............................................ 8
1.2 Анализ рисков информационной безопасности ..................................................................... 15
1.2.1 Идентификация и оценка информационных активов .................................................... 15
1.2.2 Оценка уязвимостей активов............................................................................................ 21
1.2.3 Оценка угроз активам ....................................................................................................... 27
1.2.4 Оценка существующих и планируемых средств защиты .............................................. 34
1.2.5 Оценка рисков ................................................................................................................... 43
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты информации
на предприятии ...................................................................................................................................... 49
1.3.1 Выбор комплекса задач обеспечения информационной безопасности ........................ 49
1.3.2 Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты информации ........ 50
1.4 Выбор защитных мер ................................................................................................................ 53
1.4.1 Выбор организационных мер ........................................................................................... 53
1.4.2 Выбор инженерно-технических мер ................................................................................ 56
2 Проектная часть ................................................................................................................................. 60
2.1 Комплекс организационных мер обеспечения информационной безопасности и защиты
информации предприятия .................................................................................................................... 60
2.1.1 Отечественная и международная нормативно-правовая основа создания системы
обеспечения информационной безопасности и защиты информации предприятия................... 60
2.1.2 Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия ......................................... 67
2.2 Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ............................................. 78
2.2.1 Структура программно-аппаратного комплекса информационной безопасности и
защиты информации предприятия ................................................................................................... 78
2.2.2 Контрольный пример реализации проекта и его описание ........................................... 83
3 Обоснование экономической эффективности проекта .................................................................. 93
3.1 Выбор и обоснование методики расчёта экономической эффективности .......................... 93
3.2 Расчёт показателей экономической эффективности проекта ............................................... 98
Заключение ............................................................................................................................................. 105
4
Список использованной литературы ................................................................................................ 107
Приложение. Общие требования по обеспечению информационной безопасности ....................... 109
Приложение. Программный код ............................................................................................................ 120
5
Введение
В настоящее время информационная безопасность (ИБ) является
неотъемлемым аспектом существования коммерческих, государственных и
частных организаций. Защита информации имеет серьезные причины, ведь в
случае утечки информации организации могут понести не поправимый ущерб, а
именно, финансовые потери, которые в конечном итоге могут привнести к
деструкции организации.
Разворачивающееся вокруг информационного ресурса соперничество,
борьба за достижение и удержание информационного превосходства начинают
занимать все более значимое место в общей геополитической конкуренции
развитых стран мира. На новом этапе истории мира, когда возможности
экстенсивного роста за счет механического присоединения новых ресурсов путем
вооруженного захвата территории других стран и всех имеющихся на этой
территории богатств оказались исчерпанными и неэффективными, встал вопрос о
более приемлемых формах и способах геополитической конкуренции в
информационной сфере.
Становится очевидным, что с глобализацией информационной сферы
эффективность национальных систем обеспечения информационной безопасности
становится решающим фактором в политике любого субъекта геополитической
конкуренции. И, напротив, неэффективность системы информационной
безопасности может стать фактором, способным привести к крупномасштабным
авариям и катастрофам, последствия которых могут вызвать, в частности,
дезорганизацию государственного управления, крах национальной финансовой
системы и т. п.
Основополагающая идея информационной безопасности как социального
явления заключается в установлении и реализации морально-этических,
нормативно-правовых и организационных отношений между людьми,
обеспечивающих сбалансированность интересов человека, общества и государства
в информационной сфере.
В настоящее время подавляющее большинство информации обрабатывается
с помощью различных технических средств – компьютерного оборудования, а
6
передается по линиям связи различного рода и принципа действия. И если
хранящаяся в одном и том же месте информация является тяжело доступной для
злоумышленника, то при передаче ее по линиям связи ее защита, как правило,
значительно слабее. В связи с этим насущным вопросом для организаций
различного рода является именно обеспечение защиты информации при ее
передаче.
В рамках ВКР рассматривается объект, использующий в процессе
документооборота информацию, являющуюся коммерческой тайной. Таким
образом, можно сделать вывод, что данный объект подлежит анализу на
соответствие требований выставленных ГТК, и в случае не соответствия –
подлежит модернизации.
Темой ВКР является Разработка системы обеспечения информационной
безопасности и защиты информации баз данных 1С на примере ООО «АСК-38».
Целью проекта является повышение уровня защищенности системы
информационной безопасности в ООО «АСК-38».
ВКР состоит из 3 глав. Краткое описание каждой из них приведено ниже.
В первой главе рассмотрена задача построения информационной
безопасности, для решения которой проводится характеристика информационной
системы предприятия, угроз ИБ, и выдвижение требований к системе защиты
информационной безопасности.
Во второй главе затрагиваются вопросы проектирования системы
информационной безопасности в рамках государственных стандартов.
Определяются требования к системе информационной в рамках тех же
государственных стандартов. Так же производится анализ существующей системы
ИБ, и выявление несоответствий требованиям государственных стандартов.
Эта же глава посвящена устранению недостатка в системе ИБ предприятия, а
именно описанию внедрения программного-аппаратного комплекса для защиты
информации компании.
В третьей главе производится оценка экономического эффекта от
модернизации системы информационной безопасности компании.
7
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области
и предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
Общество с ограниченной ответственностью ООО «АСК-38» было основано
1 декабря 2001 года и специализировалось вначале на продаже программного
обеспечения собственной разработки, а также расходных материалах для
компьютерной техники.
ООО «АСК-38» - это прежде всего самый широкий выбор офисной,
компьютерной и фото-видеотехники. Особая гордость - это самый широкий выбор
расходных материалов от уже забытых многими ленточек для матричных
принтеров до картриджей к современным цветным лазерным принтерам. В
магазинах фирмы всегда можно найти комплектующие, необходимые для
модернизации и расширения возможностей имеющихся компьютеров большинства
производителей. В ассортименте магазинов общества покупатель всегда может
найти как недорогие и популярные модели, так и эксклюзивную и
высокопроизводительную компьютерную технику.
В основе технической политики ООО «АСК-38» - надежность по
оптимальным ценам. Несмотря на самый широкий ассортимент, у фирмы нет
стремления продавать дешевую технику в ущерб ее качеству. В ООО проводится
контроль качества, опирающийся на опыт и профессионализм специалистов. Имея
самый продолжительный и богатый опыт технической поддержки, на сегодня
специалисты сервис-центра ООО «АСК-38» являются одними из самых
квалифицированных и авторитетных среди коллег. Сегодня сервис-центр ООО
«АСК-38» - это гарантийное и постгарантийное обслуживание, ремонт и
модернизация компьютеров, выездное обслуживание клиентов.
Количественно–стоимостные оценки деятельности ООО «АСК-38» указаны
в таблице 1.1.
Таблица 1.1
Количественно–стоимостные оценки деятельности компании
8
№ п/п
Наименование показателя
Ед. изм.
1-3 кв.
2010 г.
1-3 кв.
2011 г.
Отклонение
Абсолютн
+, -
Темп
роста, %
1
Объем реализации услуг
т.руб.
79510
83502
3992
105
2
Численность работающих
чел.
129
130
1
10
3
Производительность труда 1-го
работающего
т.руб.
2092
1740
-353
83
4
Фонд заработной платы
персонала
т.руб.
10368
11096
728
107
5
Среднегодовая зарплата 1-го
работающего
т.руб.
273
231
-42
85
6
Себестоимость услуг и
продукции
т.руб.
73120
75942
2822
104
1.1.2 Организационно-функциональная структура предприятия
Структура управления головным офисом организации представлена на
рисунке 1.1.
В подчинении управляющего находятся следующие должностные лица:
Директор по логистике;
коммерческий директор;
финансовый директор;
директор по персоналу;
начальник юридического отдела;
директор по развитию;
директор по безопасности.
В свою очередь, директорам подчинены отделы, соответствующие их
должностям.
Генеральный директор решает вопросы изменения устава, утверждает
годовые результаты деятельности, а также решает вопросы по ликвидации и
реорганизации фирмы. Работников фирма набирает с биржи труда в соответствии с
их квалификацией и разрядом. Также возможно привлечение молодых сотрудников
с незаконченным высшим или средним специальным образованием для
прохождения практики.
9
Рисунок
1.1 Организационно
-штатная структура управления компанией
10
Взаимоотношения генерального директора с подчиненными, охрана труда,
социальное развитие регулируется законодательством РФ.
Отдел по продажам один из самых главных в компании. В функции
подчиненных этого отдела входит: обслуживание входящих и исходящих звонков,
оказание коммерческих услуг, обеспечение выполнения условий, предусмотренных
заключенными соглашениями, сопровождение клиента.
В должностные обязанности сотрудника этого отдела входит:
поиск потенциальных клиентов;
ведение коммерческих переговоров с клиентами в интересах
организации;
оперативное реагирование на информацию, поступающую от
клиентов, и доведение ее до сведения начальника отдела;
выяснение потребностей клиентов в услугах, реализуемой фирмой, и
согласование заказа с клиентом в соответствие с его потребностями;
мотивация клиентов на работу с фирмой.
составление ежемесячного плана продаж;
анализ статистических данных продаж клиентов Фирмы;
предоставление отчетов по итогам в работы в соответствии с
регламентом работы отдела и фирмы.
обеспечение маркетинговых исследований предоставленного сегмента
рынка по изучению спроса на услуги компании, уровень цен у конкурентов,
перспектив развития рынка.
участие в составлении прогнозов.
Сотрудники отдела кадров должны выполнять поиск новых сотрудников по
запросам из каждого подразделения компании, а также вести учет личной и
служебной информации о всех сотрудниках ООО «АСК-38» и другой важной
информации. Оформление всех документов на прием или увольнение, ведется в
этом же подразделении.
В должностные обязанности сотрудника этого отдела входит:
11
участие в разработке кадровой политики и кадровой стратегии
предприятия.
осуществление работы по подбору, отбору и расстановке кадров на
основе оценки их квалификации, личных и деловых качеств;
обеспечение приема, размещение и расстановку молодых
специалистов и молодых рабочих в соответствии с полученной в учебном
заведении профессией и специальностью;
создание резерва для выдвижения на основе таких организационных
форм, как планирование деловой карьеры, подготовка кандидатов на выдвижение
по индивидуальным планам, ротационное передвижение руководителей и
специалистов, обучение на специальных курсах, стажировка на соответствующих
должностях.
проведение аттестации работников предприятия, ее методическое и
информационное обеспечение, участие в анализе результатов аттестации,
разработке мероприятий по реализации решений аттестационных комиссий,
определение круга специалистов, подлежащих повторной аттестации.
Главной задачей финансового отдела является ведение бухгалтерского учета
имущества, обязательств и хозяйственных операций, своевременное и достоверное
отражение результатов финансово-хозяйственной деятельности компании. В своей
работе сотрудники бухгалтерии руководствуются действующими
законодательными актами РФ, инструкциями, приказами, распоряжениями,
правилами, Политикой в области качества и др. документами, утвержденными
Генеральным директором, регламентирующими работу бухгалтера.
В должностные обязанности сотрудника этого отдела входит:
осуществление приема и контроля первичной документации по
соответствующим участкам бухучета и подготовка их к счетной обработке
расчет заработной платы;
расчет налогов по зарплате по всем сотрудникам;
подготовка отчета по фондам и отчет в налоговую инспекцию по
единому социальному налогу;
подготовка и сдача персонифицированного учета в пенсионный фонд,
индивидуальных сведений по налогу на доходы физических лиц;.
12
оформление бухгалтерских документов для их архивирования.
выполнение работ по формированию, ведению и хранению
бухгалтерской информации.
выполнение отдельных служебных поручений главного бухгалтера,
генерального директора.
Сотрудники юридического отдела выполняют проверку всех акций или
мероприятий проводимых в компании, для установления из законности по
правовым аспектам законодательства РФ.
В должностные обязанности сотрудника этого отдела входит:
разработка или участие в разработке документов правового характера;
правовая помощь структурным подразделениям в подготовке и
оформлении различного рода правовых документов;
подготовка обоснованных ответов при отклонении претензий третьих
лиц;
участие в разработке и осуществлении мероприятий по укреплению
договорной, финансовой и трудовой дисциплины, обеспечению сохранности
имущества;
изучение, анализ и обобщение результатов рассмотрения претензий,
судебных и арбитражных дел, практики заключения и исполнения хозяйственных
договоров с целью разработки предложений об устранении выявленных
недостатков и улучшении хозяйственно-финансовой деятельности;
оформление материалов о привлечении работников к дисциплинарной
и материальной ответственности.
Call-центр является подразделением, основная функция которого направлена
на синхронное обслуживание значимого числа телефонных вызовов клиентов
компании.
Все звонки, как правило, распределяют на исходящие (outbound) и входящие
(inbound). Входящие звонки осуществляют клиенты для получения информации,
рассказа о проблемах или для получения пояснений по его проблеме. Эти звонки
значительно разнятся от исходящих звонков, в которых агенты звонят возможным
клиентам в основном с намерениями продажи услуг.
Основные функции отдела закупок: