96
Продолжение таблицы № 16
Актив
Угроза
Величина
потерь
(тыс.руб.)
Проектная
документация
Злоупотребление правами
100
Нарушение обслуживания информационной системы
500
Порча данных
500
Отказ в осуществлении деятельности
100
Отказ оборудования
2 000
Ошибка в использовании
100
Нелегальная обработка данных
100
Хищение оборудования
1600
Хищение носителей информации или документов
2 000
Тайные действия с программными средствами
2 000
Фальсификация прав
3 000
Ухудшение состояния носителей данных
300
Сбой программных средств
200
Разрушение оборудования или носителей данных
6 000
Перехват информации
1 000
Дистанционный шпионаж
12 000
Потеря электропитания
6 000
Отказ телекоммуникационного оборудования
5 000
Затопление
4 000
Образование пыли, коррозия, замерзание
100
Биллинговая
система
Злоупотребление правами
5 000
Порча данных
15 000
Хищение оборудования
15 000
Тайные действия с программными средствами
1 000
Фальсификация прав
5 000
Ухудшение состояния носителей данных
500
Сбой программных средств
100
Разрушение оборудования или носителей данных
500
Нарушение работоспособности персонала
500
Перехват информации
6 000
Дистанционный шпионаж
10 000
Потеря электропитания
100
Отказ телекоммуникационного оборудования
400
Затопление
6 000
Финансовые
документы
Злоупотребление правами
2 000
Нарушение обслуживания информационной системы
0
Порча данных
0
Отказ в осуществлении деятельности
2 000
Отказ оборудования
500
Ошибка в использовании
0
Нелегальная обработка данных
150
Хищение оборудования
1 500
Хищение носителей информации или документов
500
Тайные действия с программными средствами
3 000
Фальсификация прав
1 600
97
Продолжение таблицы № 16
Актив
Угроза
Величина
потерь
(тыс.руб.)
Финансовые
документы
Ухудшение состояния носителей данных
600
Сбой программных средств
400
Разрушение оборудования или носителей данных
2 000
Нарушение работоспособности персонала
300
Перехват информации
200
Дистанционный шпионаж
5 000
Потеря электропитания
200
Отказ телекоммуникационного оборудования
100
Затопление
2 000
Образование пыли, коррозия, замерзание
200
Суммарная величина потерь
1 567 800
Затем необходимо оценить динамику величин потерь за период не менее 1
года и внести данные в таблицу № 17. По результатам таблицы видно, что
снижение потерь от осуществления угроз информационной безопасности носит
положительный характер.
Таблица № 17
Оценка динамики величин потерь
1 кв.
2 кв.
3 кв.
4 кв.
5 кв.
6 кв.
7 кв.
8 кв.
До
внедрения
СЗИ
14174
16675
19618
23080
27153
31945
37582
44214
После
внедрения
СЗИ
2410
2835
3335
3924
4616
5431
6389
7516
Снижение
потерь
11764
13840
16283
19156
22537
26514
31193
36698
После принятия обязательных допущений о неизменности частоты
появления угроз, а также о неизменном уровне надежности созданной системы
защиты информации возможно определить срок окупаемости системы (Ток). Это
выполняется аналитическим способом, с использованием приведенной ниже
формулы:
Т
ок
= R∑ / (Rср – Rпрогн)
98
Т
ок
= 220 428 / (4464040 – 1567800) = 0,245
0,245 * 12 месяцев = 2,9 месяца
На основании данных таблицы № 17 можно рассчитать срок окупаемости
проекта. График затрат представлен на рисунке № 25. На графике видно, что
затраты на проект начинают окупаться после первого квартала внедрения.
Рисунок 25. График затрат проекта
99
ЗАКЛЮЧЕНИЕ
Целью данной работы являлось внедрение комплексной системы защиты
информации компании «Абрис-Строй». В ходе работы над первой главой ВКР
была рассмотрена деятельность компании и дана технико-экономическая
характеристика компании.
Затем был проведен анализ предметной области, в результате которого
были выявлены информационные активы организации. Для выявленных
информационных активов был составлен перечень возможных уязвимостей. Для
выявленных уязвимостей были рассмотрены угрозы информационной
безопасности. Далее был составлен список рисков, оценена вероятность
осуществления рисков и произведена оценка возможного ущерба компании.
В результате анализа предметной области был составлен список особо
ценных информационных активов организации, в которым относятся:
персональные данные сотрудников, клиентов и контрагентов организации,
которые хранятся в виде бумажных документов (личные дела) и в виде данных в
информационных системах компании, серверное программное обеспечение,
проектная документация и финансовые документы, которые представлены как в
бумажной, так и в электронной форме.
Для защиты выбранных ресурсов был разработан список возможных мер
по организации защиты информации. Было дано обоснование необходимости
усовершенствования защиты информационной безопасности компании.
Были рассмотрены программно-аппаратные средства, необходимые для
осуществления выбранных мер. В результате был осуществлен выбор
программно-аппаратных средств защиты конфиденциальной информации
компании.
В ходе работы над второй главой ВКР на основании выбранных
организационных мер обеспечения информационной безопасности были
разработаны следующие документы:
1. Политика информационной безопасности организации.
100
2. Положения о реагирования на инциденты информационной
безопасности.
В рамках выбранных программно-аппаратных мер обеспечения
информационной безопасности компании были осуществлены следующие
действия:
1. ВнедрениеDLP-системы «Falcongaze Secure Tower».
2. Внедрение системы видеонаблюдения под управлением
программного обеспечения «SmartStation».
Для осуществленных действий был произведен расчет экономической
эффективности проекта. В результате расчета было выявлено, что вложения в
средства защиты информационной инфраструктуры организации на 68% ниже,
чем сумма возможного ущерба при реализации угроз информационной
безопасности. Проект внедрения средств обеспечения информационной
безопасности окупается через 2,9 месяца после начала эксплуатации.
101
СПИСОК ЛИТЕРАТУРЫ
1. Конституция Российской Федерации (принята всенародным
голосованием 12.12.1993) (с учетом поправок, внесенных Законами РФ о
поправках к Конституции РФ от 30.12.2008 N 6-ФКЗ, от 30.12.2008 N 7-ФКЗ, от
05.02.2014 N 2-ФКЗ, от 21.07.2014 N 11-ФКЗ).
2. Доктрина информационной безопасности Российской Федерации
(утверждена Указом Президентом Российской Федерации от05.12.2016г. № 646).
3. Федеральный закон «О персональных данных»№ 152-ФЗ (принят
Государственной Думой 08.07.2006г.) (с изменениями от 29.07.2017 г.).
4. Федеральный закон «О безопасности» № 390-ФЗ (принят
Государственной Думой 28.12.2010г.) (с изменениями от 05.10.2015 г.).
5. Федеральный закон «О государственной тайне» № 5485-1 ФЗ
(принят Государственной Думой 21.07.1993г.) (с изменениями от 08.09.2015 г.).
6. Федеральный закон «О государственной поддержке средств
массовой информации и книгоиздания Российской Федерации» № 390-ФЗ
(принят Государственной Думой 28.12.2010г.) (с изменениями от 05.10.2015 г.).
7. Федеральный закон «Об информации, информационных
технологиях и о защите информации» № 149-ФЗ (принят Государственной
Думой 08.07.2006г.) (с изменениями от 29.07.2017 г.).
8. Федеральный закон «О связи» № 126-ФЗ (принят Государственной
Думой 18.06.2003г.) (с изменениями от 07.06.2017 г.).
9. Федеральный закон «Об электронной подписи» № 63-ФЗ (принят
Государственной Думой 25.03.2011г.) (с изменениями от 23.06.2016 г.).
10. Закон «О средствах массовой информации» (принят 27.12.1991г.) (с
изменениями от 29.07.2017г.).
11. Аверченков В.И. Аудит информационной безопасности - Москва.:
Флинта, 2011. – 269с.
12. Алаева М.А. Компьютерные Сети - Москва.: Schiffer Publishing,
2012. - 134 c.
102
13. Баула В.Г., Томилин А.Н., Волканов Д.Ю. Архитектура ЭВМ и
операционные среды - Москва.: Академия, 2011. - 336 c.
14. Воробьев Л.В., Давыдов А.В., Щербина Л.П. Системы и сети
передачи информации - Москва.: Академия, 2011. - 336c.
15. Исаев Г.Н. Информационные технологии - Москва.: Омега-Л, 2012.
– 464с.
16. Кияев В.А., Граничин О.М. Безопасность информационных систем -
Москва.: Национальный Открытый Университет «ИНТУИТ», 2016. - 192с.
17. Ситанов Н.Н. Администрирование в информационных сетях -
Москва.: Лотест, 2010. -552c.
18. Смирнов А.А. Обеспечение информационной безопасности в
условиях виртуализации общества – Москва.: Юнити-Дана, 2012. - 159 с.
19. Хаулет Т. Инструменты безопасности с открытым исходным кодом
– Москва.: Национальный Открытый Университет «ИНТУИТ», 2016. - 556с.
20. Словарь финансовых и юридических терминов [Электронный
ресурс]: // СПС «КонсультантПлюс» [Офиц. сайт]. URL:
https://www.consultant.ru/law/ref/ju_dict/word/informacionnye_aktivy/ (дата
обращения 12.11.2017).