2
ОГЛАВЛЕНИЕ
ВВЕДЕНИЕ .............................................................................................................. 4
I АНАЛИТИЧЕСКАЯ ЧАСТЬ ............................................................................... 7
1.1. Технико–экономическая характеристика предметной области и
предприятия ............................................................................................................. 7
1.1.1. Характеристика предприятия и его деятельности .............................. 7
1.1.2. Организационная структура управления предприятием ................. 10
1.2. Анализ рисков информационной безопасности .......................................... 12
1.2.1 Идентификация и оценка информационных активов .............................. 12
1.2.2. Оценка уязвимостей активов ..................................................................... 21
1.2.3. Оценка угроз активам ................................................................................. 25
1.2.4. Оценка существующих и планируемых средств защиты ....................... 29
1.2.5. Оценка рисков ............................................................................................. 42
1.3. Характеристика комплекса задач, задачи и обоснование
необходимости разработки регламента .............................................................. 48
1.3.1. Выбор комплекса задач автоматизации и характеристика
существующих бизнес процессов........................................................................ 48
1.3.2. Определение места проектируемой задачи в комплексе задач и ее
описание 57
1.4. Выбор защитных мер ..................................................................................... 63
1.4.1. Выбор организационных мер ..................................................................... 63
1.4.2. Выбор инженерно–технических мер ......................................................... 65
II ПРОЕКТНАЯ ЧАСТЬ ....................................................................................... 69
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия ........................................... 69
2.1.1. Отечественная и международная нормативно–правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия ........................................................................................................... 69
3
2.1.2. Организационно–административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия ........................................................................................................... 71
2.2. Комплекс проектируемых программно–аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ............ 75
2.2.1 Структура программно–аппаратного комплекса информационной
безопасности и защиты информации предприятия ........................................... 75
2.2.2. Контрольный пример реализации проекта и его описание .................... 81
III Обоснование экономической эффективности проекта ................................ 91
3.1 Выбор и обоснование методики расчёта экономической эффективности 91
3.2 Расчёт показателей экономической эффективности проекта ..................... 96
ЗАКЛЮЧЕНИЕ ................................................................................................... 100
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ ........................................... 103
4
ВВЕДЕНИЕ
Разнообразие технических средств охраны на современном рынке и
многообразие решений по их применения подталкивает современность к
унификации. Производители отмечают, что технические средства
безопасности должны использоваться совместно, поскольку именно такой
подход дает максимальный эффект. Исходя из этого, целесообразным
решением при построении комплексной системы безопасности является
создание интегрированной охранной системы[17][18].
Интегрированная охранная система представляет собой комплексную
многофункциональную систему безопасности, совмещающей в себе функции
всех традиционных автономных систем. Система предполагает объединение
на базе современных информационных технологий и программно-аппаратной
интеграции нескольких подсистем, функционально и информационно
связанных друг с другом, а так же их работу по единому алгоритму[18].
Возможны два пути решения проблемы интеграции компонентов
охранной системы: аппаратный и программный. Аппаратная интеграция часто
затруднена в связи с использованием производителями разнообразных
интерфейсов и стандартов, что ограничивает гибкость систем с аппаратной
интеграцией. Программный метод интеграции лишен этой особенности.
Интеграция на уровне драйверов тем более удобна, что на сегодняшний день
большинство производителей технических средств охраны обеспечивают свои
продукты программными модулями, позволяющими организовывать
взаимодействие с компьютерами.
В настоящее время наиболее перспективной средой интегрирования ТС
охраны является локальная сеть охраняемого объекта. Основными
преимуществами использования данной технологии в качестве базы для
интеграции технических средств являются ее повсеместная
распространенность и наличие разнообразных средств обеспечения
информационной безопасности.
5
Актуальность дипломного проекта подтверждается острой
необходимостью в защите от воздействия угроз на различные сферы жизни и
деятельности человека в ООО «Цитрон».
В современном мире защита человека, имущества, информации
занимает одно из первых мест среди потребностей человека и общества в
целом. Появление и создание новых угроз, развитие уже существующих,
заставляют людей
Новизна темы обуславливается комплексным подходом к разработке
методики аудита информационной безопасности, соответствующей
требованиям ГОСТ Р ИСО/МЭК 27007–2014.
Теоретическая значимость темы исследования направлена на
совершенствование системы обеспечения информационной безопасности,
позволяющей если полностью не исключить, то свести к минимуму
последствия дестабилизирующих факторов.
Практическая значимость темы исследования заключается в
разработке регламента проведения аудита информационной безопасности,
который может быть применен в коммерческих или государственных
учреждениях.
Целью дипломного проекта является проведение аудита
информационной безопасности ООО «Цитрон» по направлению защиты
персональных данных клиентов и сотрудников организации.
Для достижения поставленной цели необходимо первоначально решить
следующие задачи:
Анализ законодательства по вопросам информационной
безопасности и проведения аудита систем информационной безопасности;
Анализ деятельности организации;
Построение модели угроз безопасности информации;
Разработка комплекса мероприятий по проведению аудита
информационной безопасности;
Оценка рисков;
6
Обоснование экономической эффективности информационной
безопасности ООО «Цитрон».
Объектом исследования является ООО «Цитрон» и ее деятельность.
Предметом исследования является разработка регламента
информационной безопасности по направлению защиты персональных
данных.
7
I АНАЛИТИЧЕСКАЯ ЧАСТЬ
1.1. Технико–экономическая характеристика предметной области и
предприятия
1.1.1. Характеристика предприятия и его деятельности
Начиная с 1999 года, ООО «Цитрон» занимается поставкой
компьютерной техники и комплексных решений в области продаж,
инсталляции, обслуживания и ремонта ИТ-структур коммерческих и
государственных предприятий. Компания специализируется на полностью
законченных решениях. ООО «Цитрон» предоставляет свою помощь на
любом этапе работы: от выбора спецификации оборудования, до установки и
ремонта.
Более чем девятнадцатилетний опыт работы в области ИТ-услуг в
Москве позволяет компании с уверенностью браться за сложные проекты. На
сегодняшний день клиентами ООО «Цитрон» являются более 500 компаний.
И в каждом конкретном случае ООО «Цитрон» находит наилучшее решение,
которое максимально полно учитывает индивидуальные запросы клиента.
Структура ООО «Цитрон» выстроена таким образом, что заказчик всегда в
режиме реального времени можете узнать о своем заказе, ходе работ или
статусе ремонта на сайте компании или у персонального менеджера,
закрепленного за каждым клиентом.
Основу персонала ООО «Цитрон» составляют специалисты, имеющие
многолетний опыт работы в ИТ-области, прошедшие профильное обучение и
имеющие сертификаты мировых компаний-производителей. Качество работы
компании ООО «Цитрон» подтверждено сертификатом соответствия
требованиям ГОСТ ISO 9001-2011 (ISO 9001:2008). Тесные партнерские связи
с лидерами рынка, как Lenovo, Cisco, Rittal, APC by Schneider Electric, HPe,
Dell, IBM, Microsoft, Intel и другими позволяют ООО «Цитрон» обеспечивать
интеграционные решения оптимального качества и цены.
8
Отдельным направлением работы ООО «Цитрон» является участие в
тендерах и электронных торгах. ООО «Цитрон» работает на ведущих
торговых площадках нашей страны - Единая электронная торговая площадка,
Сбербанк-АСТ и Портал поставщиков города Москвы. Для глобальных
корпораций ООО «Цитрон» имеет возможность размещения заказов через
систему международных заказов ACSL.
Собственный официальный сервисный центр, авторизованный
компаниями HP Inc. и Lenovo, позволяет выполнять гарантийное и
постгарантийное сервисное обслуживание компьютерной техники данных
производителей, что является дополнительным преимуществом для
заказчиков компании.
Постоянный поиск оригинальных решений, индивидуальный подход,
ставка на опыт и профессионализм – все это позволяет компании ООО
«Цитрон» предлагать персонализированный пакет услуг, как крупным
коммерческим и государственным структурам, так и небольшим компаниям,
и частным лицам.
Основные технико–экономические показатели деятельности ООО
«Цитрон».
Таблица 1.1
Основные технико–экономические показатели деятельности ООО
«Цитрон»
Показатели
Ед.
измер.
2017 г.
2018 г.
Темп
прироста, %
Доход от основной
деятельности
млрд.
руб.
5,5
5,9
107,27
Операционная прибыль до
начисления резервов
млрд.
руб.
1,3
1,5
115,38
Чистый процентный доход
млрд.
руб.
1,5
1,7
113,33
Капитал компании
млрд.
руб.
1,3
1,5
115,38
9
Активы по итогам
прошлого года
млрд.
руб.
43,1
46,3
107,42
Предприятие имеет организационную форму «Общество с
ограниченной ответственностью» и зарегистрировано 29 ноября 2004 года в
городе Москве. ООО «Цитрон» осуществляет следующие виды деятельности
(в соответствии с кодами ОКВЭД, указанными при регистрации):
Основной вид деятельности:
- Торговля розничная, осуществляемая непосредственно при помощи
информационно-коммуникационной сети Интернет
Дополнительные виды деятельности:
- Торговля оптовая компьютерами, периферийными устройствами к
компьютерам и программным обеспечением
- Торговля розничная компьютерами, периферийными устройствами к
ним и программным обеспечением в специализированных магазинах
- Торговля розничная офисными машинами и оборудованием в
специализированных магазинах
- Торговля розничная телекоммуникационным оборудованием, включая
розничную торговлю мобильными телефонами, в специализированных
магазинах
- Разработка компьютерного программного обеспечения
- Деятельность консультативная и работы в области компьютерных
технологий
- Деятельность по обработке данных, предоставление услуг по
размещению информации и связанная с этим деятельность
- Деятельность по созданию и использованию баз данных и
информационных ресурсов
10
1.1.2. Организационная структура управления предприятием
При реализации организационной структуры управления ООО
«Цитрон» реализовано эффективное распределение управленческих функций
по отделам. При этом выполняется ряд следующих условий:
– решение одних и тех же вопросов не должно находиться в
компетенции нескольких отделов;
– в должностные обязанности начальников отделов должны быть
включены все функции управления, существующие в отделе;
– на данный отдел не должно быть возложено решение вопросов
эффективно решаемых в другом отделе.
Между отделами организации существуют как горизонтальные, так и
вертикальные связи.
Горизонтальные связи характеризуются равноправием элементов,
например, связь между начальниками отделов в организации.
Вертикальные связи, в отличие от горизонтальных, характеризуются
подчинением вышестоящему звену, например, связь между начальником
отдела и сотрудниками данного отдела.
Основу управленческой структуры организации составляет
определенная система. Существуют три основные системы управления
организацией:
– Линейная, определенная схемой прямого подчинения по всем
вопросам нижестоящих отделов вышестоящим. Данная система достаточно
проста и может быть эффективна, если не велико число рассматриваемых
вопросов и по ним могут быть даны решения в ближайших отделах
– Функциональная, представляющая схему подчинения нижестоящего
отдела ряду функциональных отделов, решающих определенные
управленческие вопросы. При данной системе управления указания
поступают более квалифицированные. Однако подчиненные отделы не всегда
знают, как согласовать полученные указания, в какой очередности их
11
выполнять. Именно поэтому данный вид управления практически
применяется крайне редко.
– Смешанная, определяется определенными комбинациями функций
линейного и функционального управления.
Административные структуры располагают множеством признаков,
которые могут быть приложены в качестве критериев их группировки.
Проводят различия структур простых и сложных, жестких и гибких, линейных
и функциональных, постоянных и переменных, типовых и индивидуальных,
формальных и неформальных, сложившихся и экспериментальных,
централизованных и децентрализованных и т.д. Можно классифицировать
структуры устойчивые и неустойчивые, надежные и ненадежные,
бюрократические и демократические, дорогие и дешевые и т. д.
Схема организационно–штатной структура ООО «Цитрон»
представлена на рисунке 1.1.
Генеральный директор
Коммерческий
директор
Юридический
отдел
Бухгалтерия
Отдел закупок
и поставок
Отдел
страхования
Отдел кадров
Отдел по
работе с
проблемными
активами
Отдел
информационных
технологий
Административный
отдел
Технический
директор
Рис. 1.1. Организационно–штатная структура ООО «Цитрон»