6
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения) ................................................ 10
1.1.1 Общая характеристика предметной области ........................................ 10
1.1.2 Организационно-функциональная структура предприятия................ 11
1.2 Анализ рисков информационной безопасности ......................................... 15
1.2.1 Идентификация и оценка информационных активов .......................... 15
1.2.2 Оценка уязвимостей активов ................................................................. 24
1.2.3 Оценка угроз активам ............................................................................. 28
1.2.4 Оценка существующих и планируемых средств защиты ................... 38
1.2.5 Оценка рисков ......................................................................................... 45
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ....................................................................... 46
1.3.1 Выбор комплекса задач обеспечения информационной безопасности
47
1.3.2 Определение места проектируемого комплекса задач в комплексе
задач предприятия, детализация задач информационной безопасности и защиты
информации .................................................................................................................. 51
1.4 Выбор защитных мер ..................................................................................... 57
1.4.1 Выбор организационных мер ................................................................. 57
1.4.2 Выбор инженерно-технических мер ..................................................... 60
2 Проектная часть .................................................................................................... 74
2.1 Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия .................................................. 74
2.1.1 Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия ........................................................................................... 74
2.1.2 Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации предприятия
81
2.2 Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ................... 87
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия .................................................. 87
2.2.2 Контрольный пример реализации проекта и его описание ................ 94
7
3 Обоснование экономической эффективности проекта ................................... 103
3.1 Выбор и обоснование методики расчета экономической эффективности
103
3.2 Расчет показателей экономической эффективности ................................ 104
Заключение ................................................................................................................. 114
Список использованных источников....................................................................... 116
8
Введение
В рамках современной информационной экономики должным образом
преобразуется содержание бизнес-процессов. Происходит изменение
приоритетности использования интеллектуальной части общего капитала
компаний, применение инновационных вариантов управления (матричное,
сетевое и др.), минимизация степени зависимости персонала от компании,
гибкость бизнес-схем, понимание роли ИТ в увеличении эффективности бизнес-
процессов и итоговых значений бизнеса. В связи с все перечисленным,
значительно поменялся и подход к выявлению конкурентных возможностей
компаний, к примеру, при проведении операций слияния-поглощения. Так, на
фондовых биржах опытные трейдеры, наряду с различной экономической
информацией, также теперь учитывают и сообщения о перемене информационной
составляющей торговых отношений. Это хорошо заметно в текущей работе и
экспертных заключениях многих известных консалтинговых компаний,
например, Gartner, Price Waterhоuse Coopers, Accenture и др. в рамках оценки
бизнеса и уровня автоматизации минимально прибыльных компаний (к примеру,
образовательные учреждения), оценке работы государственных структур и др.
До некоторого момента не появляется вопросов и об оценивании величины
риска, рост которого нужно рассматривать как обратную сторону по отношению
к автоматизации. Проблема также объясняется тем, что вопросы информационной
безопасности, зачастую решаются ИТ-специалистами, которые не могут в полном
объеме дать реального представления о последствиях для организации при
возникновении угрозы информационной безопасности. Менеджеры компании,
которые могут оценить реальные последствия угроз, зачастую обладают
неполными знаниями в области информационных технологий, что не дает им
полноценно оценить связанные с ними риски.
Поэтому в организации зачастую просто нет специалиста, который в силах
оценить реальные риски, связанные с применением информационных технологий,
но становится очевидно, что оценка риска необходима не только с точки зрения
защиты уже сложившейся инфраструктуры, но и для точной оценки дальнейшего
применения и развития ИТ.
9
Таким образом, в организации часто не оказывается специалиста, который
мог бы оценить реальные риски, связанные с использованием информационных
технологий, хотя, очевидно, что оценка риска нужна не только с точки зрения
безопасности уже сложившейся инфраструктуры, но и для правильной оценки
перспектив использования и развития информационных технологий. Более того,
своевременную оценку риска следует рассматривать не только как функцию
управления ИС, но и как защиту организации в целом, ее способности выполнять
свои функции. Следовательно, процесс управления рисками следует
рассматривать не как техническую функцию, которую можно поручить
техническим специалистам, а как основную управляющую функцию организации.
Целью проекта является повышение уровня защищенности системы
информационной безопасности в компании АО "Интернет Солюшенс".
К задачам проекта отнесены:
Анализ информационной системы компании и применяющихся
средств защиты информации;
Идентификация информационных активов компании;
Определение уязвимостей выявленных информационных активов;
Оценка угроз активам;
Оценка средств повышения уровня информационной безопасности в
компании;
Выбор средств защиты информации и разработка порядка
применения их в компании;
Оценка экономической эффективности использования выбранных
средств.
Объектом исследования является АО "Интернет Солюшенс", а
предметом исследования - процесс внедрения комплексной защиты информации.
При написании ВКР были применены такие методы научного
исследования, как изучение научной литературы по теме исследования,
нормативно-правовой базы, аналитический и сравнительный методы.
10
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
АО «Интернет Солюшенс» является стабильной и динамично
развивающейся компанией на рынке информационных технологий. «Интернет
Солюшенс» работает на российском рынке 15 лет. За это время мы стали одной
из ведущих компаний-поставщиков услуг системной интеграции, накопили
обширный опыт реализации проектов, заслужили доверие клиентов во всех
регионах страны и высокие партнерские статусы у мировых производителей
оборудования и ПО.
Основа успеха «Интернет Солюшенс» — опыт и профессионализм ее
технических специалистов. Наши компетенции востребованы как у
государственных, так и у частных компаний: операторов связи, предприятий
розничной торговли, банковского сектора и других. Мы учитываем отраслевую и
индивидуальную специфику заказчиков, решая задачи любой сложности с
помощью инновационных решений и собственных разработок.
Работая на ИТ-рынке с 2001 г., компания сформировала комплекс
технологий, отраслевых решений и экспертизы, ускоряющих развитие
коммерческих компаний и государственных организаций.
Внедренная в компании система менеджмента качества применительно к
проектированию, разработке, вводу в эксплуатацию и обслуживанию
информационных систем, поставкам цифрового телекоммуникационного
оборудования и средств вычислительной техники соответствует требованиям
межгосударственного стандарта ГОСТ ISO 9001:2011. Среди партнеров компании
более 200 крупнейших мировых поставщиков оборудования и программного
обеспечения.
«Интернет Солюшенс» имеет разветвленную структуру – филиалы во всех
федеральных округах Российской Федерации, а также представительства в
Украине и Казахстане.
11
В результате интеграции активов и компетенций компаний «Интернет
Солюшенс» предоставляет заказчикам конвергентные сервисы, объединяющие
телекоммуникационные и ИТ-услуги, включая такие востребованные решения,
как М2М, облачные вычисления и аналитика «больших данных».
Основные экономические показатели деятельности компании приведены в
таблице 1.1.
Таблица 1.1
Экономические показатели деятельности компании АО «Интернет
Солюшенс»
№
Наименование показателя
Значение показателя
1
Количество подключенных юридических лиц
На 1 февраля 2019 года –
360 организация
2
Количество подключенных физических лиц
На 1 февраля 2019 года –
27000 человек
3
Количество городов, в которых присутствует
компания
На 1 февраля 2019 года –
10 городов
4
Количество прочих населенных пунктов, в
которых присутствует компания
На 1 февраля 2019 года –
28 НП
5
Годовой оборот
В период с января 2016
года по январь 2018 года –
29 000 000 руб.
6
Активы
На 1 февраля 2019 года -
10 000 000 руб.
7
Основной капитал
На 1 февраля 2019 года –
19 000 000 руб.
8
Персонал фирмы
На 1 февраля 2019 года –
257 чел.
9
Средняя заработная плата сотрудников
На 1 февраля 2019 года –
20 000 руб.
Таким образом, экономические показатели деятельности фирмы
свидетельствуют о ее стабильном положении на рынке, что позволяет выделить
некоторые средства для обеспечения информационной безопасности.
1.1.2 Организационно-функциональная структура предприятия
Организационную структуру АО «Интернет Солюшенс» можно
представить в виде следующей схемы (Рис. 1.1).
12
Генеральный
директор
Коммерческий
директор
Исполнительный
директор
Технический
директор
Главный
бухгалтер
Кадровый отдел
Юридический отдел
Абонентский
отдел
Отдел
продаж
Группа
операторов
Группа
эксплуатации
Строительный отдел
Отдел эксплуатации
Склад
Отдел
проектирования
Делопроизводство
Группа системных
администраторов
Рисунок 1.1 Организационно-штатная структура АО «Интернет
Солюшенс»
Генеральный директор – первый из 4-х акционеров. Высшее руководство,
которое без доверенности действует от имени фирмы и представляет его
интересы. Осуществляет общий контроль за деятельностью организации и
совместно с еще 3 акционерами определяет дальнейшее направление развития
фирмы. Принимает непосредственное участие в повышении сотрудников, их
аттестации и назначении на руководящие должности в компании;
Коммерческий директор - второй из 4-х акционеров. Высшее руководство,
которое без доверенности действует от имени фирмы и представляет его
интересы. Осуществляет общий контроль за коммерческим отделом (абонентский
отдел и отдел продаж), принимает непосредственное участие в разработке новых
проектов, определяет и утверждает их стоимость;
Начальник отдела продаж – осуществляет непосредственный контроль за
деятельностью абонентского отдела и отдела продаж. Разрабатывает новые
коммерческие проекты, ведет статистику по подключениям, стимулирует
деятельность отдела (назначает премии по итогам месяца), подчиняется
коммерческому директору;
Отдел продаж – состоит из младших и старших менеджеров, которые
занимаются поиском новых клиентов, оформлением договоров и ведением
клиента до момента подключения;
13
Абонентский отдел - состоит из младших и старших менеджеров, которые
занимаются урегулированием вопросов с абонентами, рассмотрением жалоб
клиентов, возвращением задолжностей клиентов (если «мирным» путем не
удается, данный клиент передается в юридический отдел), осуществляют
перерасчет средств на лицевом счету клиента;
Исполнительный директор – третий из 4-х акционеров. Высшее
руководство, которое без доверенности действует от имени фирмы и представляет
его интересы. Осуществляет контроль за внутренним распорядком, контролирует
деятельность юридического и кадрового отдела. Отвечает за согласования всех
видов строительных и инженерных работ в местных инстанциях;
Юридический отдел – состоит из юристов, которые занимаются
юридической стороной проектов, договоров, различных соглашений и ведением
дел должников, переданных в судебные инстанции;
Кадровый отдел – состоит из инспектора по кадрам, который ведет
оформление различных табелей, трудовых договоров, трудовых книжек,
осуществляет доведение до персонала различных распоряжений и приказов;
Главный бухгалтер – четвертый из 4-х акционеров. Высшее руководство.
Осуществляет непосредственный контроль за всеми финансовыми потоками в
организации и сдачу отчетности в налоговую службу;
Бухгалтерия – состоит из бухгалтеров, которые осуществляют различные
финансовые операции с наличными и безналичными средствами компании;
Склад – состоит из кладовщика, который занимается учетом материалов на
складе, выдает оборудование и различные материалы, занося данные в Базу
данных учета и выписывает накладную, взявшему оборудование сотруднику.
Технический директор (зам. Генерального директора) - высшее
руководство, но представляет интересы организации только по доверенности.
Осуществляет общий контроль за всеми строительными и инженерными
работами, контролирует действия начальников технических отделов и отвечает за
сдачу отчетности в Службу Государственного Надзора за Связью в Российской
Федерации;
Начальник строительного отдела – осуществляет непосредственный
контроль за деятельностью строительного отдела. Лично контролирует все
14
проводные строительные работы в организации. Ведет статистику по
подключениям, стимулирует деятельность отдела (назначает премии по итогам
месяца), подчиняется техническому директору;
Строительный отдел – состоит из монтажников различных категорий,
осуществляет подключения клиентов к сети компании, строит новые ЛВС,
осуществляет модернизации ЛВС по разработанным проектам;
Начальник отдела эксплуатации (зам. Технического директора) –
осуществляет непосредственный контроль за деятельностью 3-х отделов: группы
операторов, отдела эксплуатации и группы системных администраторов.
Является главным инженером по всем проектам с технической стороны,
контролирует их разработку. Подчиняется техническому директору;
Группа операторов – отвечают на входящие звонки в компанию,
осуществляет работу с клиентами по телефону: консультации по телефону,
проверка абонентских настроек и соединений, заведение заявок;
Отдел эксплуатации – состоит из техников и инженеров различных
категорий, которые осуществляют ремонтные и модернизационные работы по
проводным узлам связи компании, разрабатывают технические решения для
строительства ЛВС и для нестандартных подключений клиентов, выезжают по
заведенным заявкам клиентов для устранения неисправностей;
Группа системных администраторов – состоит из программистов и
системных администраторов, которые занимаются настройкой активного
оборудования, поддержкой различных баз данных, удаленной корректировкой
работы всего сетевого оборудования компании;
Начальник отдела беспроводных сетей - осуществляет непосредственный
контроль за деятельностью отдела беспроводных сетей. Лично контролирует все
работы по строительству радиоканалов в организации. Ведет статистику по
подключениям «радио-клиентов», стимулирует деятельность отдела (назначает
премии по итогам месяца), подчиняется техническому директору;
Отдел беспроводных сетей – состоит из техников и инженеров различных
категорий, которые осуществляют ремонтные и модернизационные работы по
«радиоузлам» связи компании, разрабатывают технические решения для
15
подключения клиентов по «радиоканалу», выезжают по заведенным заявкам
клиентов для устранения неисправностей;
Начальник отдела проектирования – осуществляет непосредственный
контроль за деятельностью отдела проектирования. Разрабатывает техническую
документацию к проектам. Следит за соответствием ГОСТ стандартам
выполняемых проектов. Подчиняется техническому директору;
Отдел проектирования – состоит из проектировщиков, которые занимаются
выполнением чертежей и проектной документации по техническим данным
предоставленными отделом эксплуатации и отделом беспроводных сетей.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Основу процесса анализа риска составляет определение: что надо
защищать, от кого и как. Для этого выявляются активы (компоненты АС),
нуждающиеся в защите. Некоторые активы (например, технические и
программные средства) идентифицируются очевидным образом. Про некоторые
активы (люди, расходные материалы) часто забывают. При идентификации
активов могут быть затронуты и нематериальные ценности, способные, однако,
пострадать от нарушения режима безопасности, например: репутация компании,
моральный климат в коллективе.
Информационные активы (или виды информации) оцениваются с точки
зрения нанесения компании ущерба от их раскрытия, модификации или
недоступности в течение определенного времени;
Программное обеспечение, материальные ресурсы и сервисы оцениваются,
как правило, с точки зрения их доступности или работоспособности. Т.е.
требуется определить, какой ущерб понесет компания при нарушении
функционирования данных активов. Например, нарушение системы
кондиционирования в течение трех суток приведет к отказу серверов компании, к
ним будет нарушен доступ, и вследствие этого компания понесет убытки;
Защите подлежит: