59
информации и гарантии того, что информация не модифицирована.
Конфиденциальность информации – это обеспечение доступности только тем
пользователям, у которых есть на это право.
Классификация видов угроз информационной безопасности представлена на
рисунке
Как видно из иллюстрации приведенной мною выше, в случае реализации
удаленного доступа к локальной сети компании вполне вероятно создание
предпосылок к реализации угроз информационной безопасности, а именно:
доступность и конфиденциальность информации – при ошибках в
выборе технологий и в конфигурировании систем защиты каналов
удаленного доступа;
реализованная угроза конфиденциальности информации провоцирует
повышение вероятности реализации угрозы целостности информации.
В компании ООО “Депо электроникс” имеется пакет нормативно-правовых
актов и организационно-правовые документы представленные в виде:
1.Регламент информационной безопасности:
60
доступ сотрудников к служебной информации, составляющей
коммерческую тайну;
доступ к использованию программного обеспечения,
сконфигурированного персонального под ООО «Депо электроникс» (1С
Бухгалтерия; TESSA - универсальная и гибкая платформа с современным
интерфейсом для создания высокопроизводительных решений по
автоматизации документооборота и бизнес-процессов).
2. Регламенты использования сети Internet, электронной почты ООО «Депо
электроникс». С целью более эффективного исполнения регламентов в
ООО «Депо электроникс» настроена служба Active Directory на Windows
Server 2003. Эта служба позволяет вести настройку и контроль
информационной безопасности.
Обеспечение информационной безопасности и защиты информации
на уровнях:
Программный - Microsoft Windows Server 2003, Active Directory:
1) права доступа (к операционной системе Windows 7/10, Windows
Server, Терминальный доступ Windows Server);
2) права пользователя системы (разграничение прав доступа
пользователей 1с Бухгалтерия, TESSA, файловый сервер);
3) парольная защита, доступ к базе (установлены пароли на
программные продукты, такие как:Eset Smart Security Enterprise, 1с
Бухгалтерия, TESSA);
4) ведение логов и так далее (ведется контроль логов, Windows
Server пользователи, контроль трафика интернет, контроль почты).
Аппаратный - резервное копирование (backup) серверов.
Также ведется защита информационного Web-портала компании
ООО «Депо электроникс», с использованием средств защиты от
внешних угроз:
61
еженедельная смена паролей на доступ к управлению (cms) web
порталом;
еженедельная смена паролей на доступ к базам данных SQL;
еженедельная смена паролей на доступ к FTP серверу;
производится ежедневный бекап (базы SQL, FTP файлов).
В ООО «Депо электроникс» производится постоянный
мониторинг наиболее опасных угроз информационной безопасности:
утечка данных;
халатность служащих;
вирусы;
хакеры;
кража оборудования;
аппаратные и программные сбои.
Из списка угроз видно, что первое место в иерархии опасностей
информационного обеспечения компании ООО «Депо электроникс»
занимает утечка данных. А именно, происходит нарушение
конфиденциальности следующих блоков данных: персональные данные,
финансовая отчетность, детали по конкретным сделкам на предприятии.
Так же затрагивается: интеллектуальная собственность компании, и
бизнес-планы. Руководством отделов компании на этот счет было
принято решение о ежедневном мониторинге сотрудников своих
отделов, IT-отделом осуществляется контроль прав доступа к
корпоративной информации на файл-сервере, активно производит
мониторинг электронной почты сотрудников компании, осуществляет
контроль за интернет-каналом компании посредством перекрытия
доступа к социальным сетям и лично почте сотрудников. Во время
реализации удаленного доступа к локальной сети компании могут быть
созданы следующие предпосылки к угрозам информационной
безопасности:
62
Доступность и конфиденциальность информации – при ошибках в
выборе технологий и в конфигурировании систем защиты каналов удаленного
доступа;
Реализованная угроза конфиденциальности информации
провоцирует повышение вероятности реализации угрозы целостности
информации;
К сожалению, наиболее опасным каналом для утечки информации
остаются мобильные носители, со стороны руководства компании
введены меры по ограничению сотрудников копирования и передачи
информации между собой, а так же третьим лицам на портативных
накопителях.
При условии, что утечку удается предотвратить, сотрудник несет
ответственность за нарушение внутренней политики
информационной безопасности компании. Помимо этого к
нарушителю применяются регламентированные руководством
компании штрафные санкции в виде:
выговора;
строгого выговора;
штрафа;
принудительно-«добровольного» увольнения из компании;
увольнение из компании согласно статье Трудового Кодекса (ТК РФ) и с
последующим заведением личного уголовного дела.
передача материалов в правоохранительные органы (полицию и
прокуратуру).
63
1.3 Анализ существующих разработок и выбор стратегии автоматизации
ООО «Депо электроникс»
1.3.1 Анализ существующих разработок для автоматизации задачи
В современной разработке информационных систем и мультисервисных
корпоративных сетей все системы относятся к автоматизированным системам
управления (АСУ), при этом достаточно часто встречается использование
общего класса АСУ, технического обслуживания и ремонта (ТОиР). Уже
порядка 30 лет существует класс информационных систем для автоматизации
управления процессами ТОиР. В его состав входят три вида систем:
системы CMMS (Computerized Maintenance Management Systems или
Компьютеризированные системы управления техническим
обслуживанием);
системы EAM (Enterprise Asset Management, являет собой
систематическую и скоординированную деятельность предприятия);
модули ТОиР в создании мультисервисной корпоративной сети.
Рассмотрим некоторые из существующих на рынке и наиболее
подходящих для автоматизации рассматриваемого процесса в ООО «Депо
электроникс».
Информационная система WIBS - является собственной разработкой
компании Депо электроникс ниже я приведу её частичное описание:
Основные возможности:
управление производством;
управление затратами и расчёт себестоимости;
мониторинг и анализ показателей деятельности;
регламентированный учёт;
управление персоналом и расчёт заработной платы;
управление закупками;
управления заказчиками;
управление Финансами;
64
управление складом и запасами.
контроль посещаемости рабочих мест сотрудниками (посредством
персонализированных штрих-кодов выданных в отделе кадров сотрудникам
производста)
СЭД-TESSA - предоставляет пользователям возможности
полнофункционального управления движением документов, которое
упорядочивает работы по согласованию документов между отделами. TESSA
настраивается под существующие на предприятии бизнес-процессы. Кроме
того, имеется возможность настроить удалённый доступ, что повышает
общую производительность труда. Система может работать на базе любой
широко используемой аппаратной платформы и операционной системы, а
также использовать все наиболее популярные SQL-базы данных.
VISUALSVN SERVER - служит для хранения версий программ и
исходных файлов программ, её лёгкая настройка и простое использование
делают программу одной из самый популярных и эффективных в среде
разработки, можно использовать любой клеит что делает работу проще.
JIRA - система, которая подходит для отслеживания ошибок и
управления проектом в компании любого размера. Этот инструмент подходит
для всех сотрудников в команде, а так же руководителям проектов.
Руководители могут оценивать эффективность своего отдела полностью,
от постановки задачи до её реализации. Лёгкое построение отчётов в виде
графика ганта поможет найти уязвимые места в проекте.
WIBS – собственная разработка предприятия, служит для автоматизации
разработчиков продукции компании, программа помогает подобрать по
параметрам ТМЦ, не прибегая к доступу в интернет, помимо этого помогает
осуществлять контроль посещаемости рабочих мест сотрудниками
производства посредством штрих-кодов с уникальным кодом типа SEMP-
0338(кода сотрудника).
65
Основным недостатком перечисленных систем является их громоздкость
и, как следствие, сложность внедрения, и большое количество времени и
средств, затрачиваемых на это. При внедрении одной из описанных выше
программ большая часть функционала не будет задействована.
66
1.3.2 Выбор и обоснование стратегии автоматизации задачи
В существующей схеме по планированию задач выделяется более
одного этапа. Первый этап - анализ всей стратегии развития предприятия на
сегодняшний день.
В условиях жесткой конкуренции в выигрышном положении будут
находиться не только те предприятия, чьи стратегии в своей области
предпринимательства объединяются со стратегиями в области современных
информационных технологий. Поэтому настоящим вариантом выбора
автоматизированной системы, будет являться выбор некоторого набора
пакетов различных видов программ, которые будут соответствать наилучшим
образом той или иной функции информационной системы управления (подход
MAM или mix-and-match). Такой подход способствует смягчению некоторых
проблем при внедрении и привязке программных средств, а информационные
технологии оказываются максимально приближеннми к важным функциям
конкретной индивидуальности предметной области.
Вторым этапом в этом процессе будет являться поиск и обработка
отчетной информации, полученной по каналам связи.
Далее производится конкретный подход к каждой поставленной задаче
для снижения нагрузки на сотрудника. Затем результаты решения этих задач
передаются руководителю ООО «Депо электроникс». На этом этапе возможны
внесения корректировок в работу.
Система должна быть оптимальна для использования, и иметь формы,
которые выполняют следующие функции:
получение данных;
обработка, анализ, сохранение и печать данных.
На сегодняшний момент существуют две ключевых стратегии
автоматизации: доработка существующего программного продукта под
бизнес-процессы организации, предварительная реорганизация бизнес-
процессов и последующая автоматизация уже упрощенной структуры. Выбор
67
стратегии автоматизации зависит от целей развития организации-заказчика и
ее долгосрочных экономических возможностей.
Для рассматриваемого предприятия разработка стратегии реализации
проекта будет такой:
анализ области деятельности предприятия;
анализ стратегии дальнейшего развития предприятия;
определения стратегических свойств разрабатываемой системы;
определение функциональности системы;
анализ существующих разработок;
выбор стратегии автоматизации;
выбор способа приобретения;
определение архитектуры;
формирование бизнес-плана.
В соответствии с этапами проектирования системы защищенного
доступа, будет сформирован проект мультисервисной сети.
Описание текущего состояния системы доступа пользователей к
ресурсам локальной сети.
На момент проектирования на предприятии ООО «Депо электроникс» не
предусмотрена система защищенного доступа к локальной сети и сети
Интернет.
формализация и классификация сервисов и ресурсов локальной
сети организации.
Для удаленного доступа разрешены следующие ресурсы:
личные папки пользователей локальной сети;
печать документов на сетевых принтерах организации;
корпоративная информационная система WIBS ERP;
Для удаленного доступа разрешены следующие сервисы:
Web интерфейс почтовой системы;
Web интерфейс системы Service Desk;
68
категорирование пользователей ресурсов и сервисов локальной
сети.
Пользователи организации классифицируются по ролям:
менеджмент;
сотрудники;
бухгалтерия;
отделы предприятия;
все пользователи;
определение требований по безопасности доступа по каждому
ресурсу и сервису;
доступ пользователей к файлам в их личных папках и к файлам в общих
папках, хранящихся в дисковых массивах в системе хранения данных,
определяется в соответствии с политикой прав доступа, настроенной в
Active Directory;
доступ пользователей к принтерам определяется в соответствии с
настроенными правами в AD;
доступ пользователей к системе WIBS ERP определяется в соответствии с
настроенными правами в AD;
сервисы почты и Service Desk интегрированы с AD, соответственно
доступы к сервисам указаны в AD;
доступы к системе Bitrix24 определяется в соответствующих
административных настройках этой системы;
выбор технологий для реализации системы защищенного доступа к
локальной сети.
Исходя из требований организации и целей создания мультисервисной
корпоративной сети, будет весьма оптимальным решением использование
технологии Virtual Private Network(VPN) для организации удаленного доступа
к локальной сети организации с целью получения доступа к необходимым
ресурсам и сервисам. При этом будут соблюдены следующие условия: