6
Содержание
Введение ................................................................................................................... 7
I Аналитическая часть ............................................................................................ 10
1.1Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения)…………………………………………….10
1.1.1Общая характеристика предметной области………………………………..10
1.1.2Организационно-функциональная структура предприятия.……………….11
1.2Анализ рисков информационной безопасности………………………………14
1.2.1Идентификация и оценка информационных активов………………………14
1.2.2Оценка уязвимостей активов………………………………………………...19
1.2.3Оценка угроз активам………………………………………………………...30
1.2.4Оценка существующих и планируемых средств защиты.…………………33
1.2.5Оценка рисков.………………………………………………………………..41
1.3Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии…………………………………………….50
1.3.1Выбор комплекса задач обеспечения информационной безопасности….. 50
1.3.2Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации…………………………………………………………………………55
1.4Выбор защитных мер…………………………………………………………...63
1.4.1Выбор организационных мер.………………………………………………..63
1.4.2Выбор инженерно-технических мер.………………………………………...64
II Проектная часть………………………………………………………………….72
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия………………………………72
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия.………………………………………………………………………..72
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия.………………………………………………………………………..75
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия.…………76
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия.…………………………...…76
2.2.2. Контрольный пример реализации проекта и его описание……………….78
III Обоснование экономической эффективности проекта………………………. 92
3.1Выбор и обоснование методики расчѐта экономической эффективности….92
3.2 Расчѐт показателей экономической эффективности проекта………………..95
Заключение ............................................................................................................. 96
Список использованной литературы ..................................................................... 98
Приложения .......................................................................................................... 101
7
Введение
Современный этап развития общества характеризуется возрастающей
ролью информационной сферы, представляющей собой совокупность
информации, информационной инфраструктуры, субъектов, осуществляющих
сбор, формирование, распространение и использование информации, а также
системы регулирования возникающих при этом отношений.
Успех и развитие современной организации в условиях острой
конкуренции в значительной степени зависят от применения информационных
технологий, следовательно, от степени обеспечения информационной
безопасности.
Важнейшей проблемой информационной безопасности является защита
информационных систем от несанкционированного доступа. Пути решения
этой проблемы связаны с системным анализом, вопросами надежности,
механизмами защиты и экономической эффективностью их внедрения в
практику.
Тема аттестационной работы посвящена разработке системы защиты
объекта информатизации предприятия. Различают следующие виды объектов
информатизации (ГОСТ РО 0043-003-2012 «Защита информации. Аттестация
объектов информатизации. Общие положения»):
выделенные (защищаемые) помещения;
средства изготовления и размножения документов (средства без
ПЭВМ);
средства обработки речевой и видеоинформации (средства без
ПЭВМ);
автоматизированные (информационные системы) (АРМ, ЛВС,
распределенные системы имеющие подключение к сетям общего пользования и
без подключения).
8
Актуальность работы определяется тем, что организации, в которых
работает или учится большое количество людей и соответствующие
определению объекта информатизации больше всего нуждаются в
дополнительной защите.
Актуальность темы исследования определяется постоянно
возрастающим уровнем требований к информационной безопасности.
Объектом исследования является АНПОО "Учебно- курсовой комбинат".
Предмет исследования – внедрение системы контроля и управления
доступом.
Целью данной работы является повышение уровня информационной
безопасности на примере конкретной организации путем внедрения системы
контроля и управления доступом. Для достижения поставленной цели
необходимо решить следующие основные задачи:
рассмотреть основные понятия информационной безопасности и управления
доступом, перечислить методы и средства обеспечения информационной
безопасности в организации;
провести сравнительный анализ современных средств управления доступом;
определить нормативно-правовую базу исследования, рассмотреть
организационные особенности внедрения системы управления доступом в
организации;
исследовать деятельность выбранной организации, провести анализ рисков
информационной безопасности;
перечислить комплекс задач повышения уровня безопасности доступа,
привести контрольный пример реализации проекта;
оценить эффективность проекта повышения контроля управления доступом.
Выпускная квалификационная работа состоит из введения, основной
части (состоящей из трех глав), заключения, списка использованных
источников и приложений.
9
В теоретической части работы рассмотрены особенности
информационной безопасности и обеспечения контроля управления доступом,
проведен сравнительный анализ современных средств управления доступом,
также определена нормативно-правовая база исследования.
В практической части исследована деятельность организации, проведен
анализ рисков информационной безопасности, перечислен комплекс задач
повышения уровня ограничения доступа в систему и приведен контрольный
пример реализации проекта.
В данной работе используются как теоретические (анализ,
классификация, обобщение), так и эмпирические (сравнение, измерение и др.)
методы исследования.
При выполнении работы была использована современная учебная
литература, научные труды как отечественных, так и зарубежных авторов,
нормативная документация, статьи из журналов в области сетевых технологий
и информационной безопасности, отчетность предприятия, а также материалы
сети Интернет.
10
I Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения).
1.1.1 Общая характеристика предметной области.
Автономная некоммерческая профессиональная образовательная
организация "Учебно-курсовой комбинат" - современный технически
оснащенный учебный центр, который ведет подготовку кадров для
предприятий, связанных с нефтяной отраслью. Учебно-курсовой комбинат
основан в декабре 1975 г. В составе ПО «Оренбургнефть», учебный полигон - в
1989 г.
С мая 2006 г. АНПОО «УКК» осуществляет свою производственную
деятельность в качестве самостоятельной единицы. Учредителем АНПОО
«УКК» является: АО «Оренбургнефть».
Основным видом деятельности АНПОО «УКК» является подготовка и
повышение квалификации по рабочим профессиям, прохождение обучения по
программам дополнительного профессионального образования, а также
техническое сопровождение тренингов, семинаров, конференций.
Данные таблиц показывают, что за последние три года темпы
привлечения новых клиентов компании изменялись достаточно неравномерно,
что обусловлено кризисными процессами в стране: в 2017 году рост
привлечений составил 140,1% (увеличился по сравнению с прошлым годом на
25,4% в действующих ценах), в 2019 году – 125,4% (увеличился на 13,4%), а в
2020 году – 148,9%. Эго объясняется тем, что стоимость обслуживания
увеличивалась в сопоставимый период в связи с инфляционными ожиданиями.
11
Таблица 1.
Динамика оборота компании «Учебно-курсовой комбинат» за
2017-2020 гг.
Год
ы
Фактический объем
обслуживаний (тыс.
руб.)
Темпы роста объема,
%
Базисные темпы
роста объема, %
В
действую
щих ценах
В
сопостави
мых ценах
В
действую
щих ценах
В
сопостави
мых ценах
В
действую
щих ценах
В
сопостави
мых ценах
201
7
2531,2
2550,7
100
101
100
101
201
8
3540,8
3980,2
140,1
155,7
157,2
155,9
201
9
4001,3
4152,2
112,8
104,2
158,1
162,3
202
0
5022,17
6180,3
125,4
148,9
161,5
165,2
Физический объѐм привлечений клиентов увеличился в 2018 году по
сравнению с 2017 годом на 57,2%, в 2019 году по сравнению с 2018 годом – на
0,9%, в 2020 году по сравнению с 2019 годом – на 3,4%. Темпы роста
физического объема привлечений вначале увеличивались лавинообразно, затем
наблюдается тенденция к общей стабилизации увеличения приобретения оной.
Рассмотрим организационную структуру предприятия, которая
обеспечивает ее функционирование в условиях продолжающегося кризиса.
1.1.2 Организационно-функциональная структура предприятия.
Организационная структура предприятия показана на рисунке.
12
Рисунок 1 - Организационная диаграмма
13
Директор выполняет общие функции по управлению предприятием,
выделяет основные направления деятельности предприятия, знакомится с
основными тенденциями развития по основному профилю развития.
Бухгалтерия производит учет денежных средств, выдает зарплаты
сотрудникам и учитывает основные средства компании.
Рассмотрим достоинства и недостатки существующей организационной
структуры.
Управление предприятием носит линейный характер, основанный на
единоначалии. К основным недостаткам такого метода управления можно
отнести следующие:
1. Высокие требования к руководителю, который должен иметь багаж
всесторонних знаний, необходимых для управления. Остановимся на этой
проблеме более подробно. Управление предполагает решение как ряда
экономических вопросов, связанных с сокращением затрат
обслуживания, т.е. объем знаний и умений, в котором сложно быть
компетентным одному человеку.
2. Линейная структура лишена необходимых промежуточных звеньев по
планированию и подготовке решений, что приводит к отсутствию
видения ближайшей перспективы развития и негативно отражается на ее
будущей конкурентоспособности.
3. Средние уровни управления перегружены лишней организационной
информацией, что мешает им решать на должном уровне конкретные
необходимые для развития задачи.
4. Излишняя перегруженность средних уровней ослабляет связи между
ними, что влияет на качество принимаемых на этих уровнях
управленческих решений.
5. Так как общее управление организовано по линейному принципу, при
отсутствии одного из ключевых руководителей нарушается работа как
одного из звеньев компании, так и всей компании целиком. Это
14
способствует дополнительным рискам в работе компании и делает ее
менее конкурентоспособной.
Необходимая документация для разработки комплексной системы
защиты составлена согласно обнаруженным потребностям, выявленным в ходе
изучения работы предприятия на практике. Были проведены обследования
рабочих мест специалистов - директора, бухгалтера, других специалистов.
Полученное техническое задание согласовано: концепция построения
конфигурации с директором, техническая часть проектирования с IT
специалистом, финансовая - с главным бухгалтером. Организацию работы
предприятия логически можно разбить на несколько отделов:
• Администрирование;
• Документооборот;
• Бухгалтерия.
В соответствии с иерархией и разделением обязанностей на предприятии
права доступа к подсистемам ограничены. Административный состав в лице
директора имеет доступ ко всем перечисленным частям системы, кроме того
только у него есть доступ к подсистеме «Предприятие».
Главный бухгалтер, а также бухгалтер кассир в виду специфики работы
имеет доступ к подсистеме учета денежных потоков. IT специалист
осуществляющий разработку конфигурации системы имеет доступ для
последующей отладки или модернизации только с разрешения директора.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов.
В первую очередь, необходимо определить, что такое информационный
актив. Информационный актив — это компонент структурной системы, в
который организация вкладывает ресурсы для формирования и организации
защиты конфиденциальности.
15
Информационный актив может состоять из нескольких информационных
компонентов, которые включают различные информационные активы,
включающие базы данных, документы и прикладные программы, а также
необходимые для работы программ аппаратные средства. [9]
Для обеспечения необходимой защиты информационных компонентов в
процессе работы системы требуется оценить их уязвимости и возможные риски
при работе с ними. [12]
Говоря о структурном содержании компании, следует выделить
следующие информационные компоненты:
1. Базы данных подразделений (только в бухгалтерии хранится
информация о действующих и бывших сотрудниках, их персональные
данные, а также архив сведений о всех финансовых операциях как
внутри организации, так и за ее пределами за определенный период).
2. Документы (шаблоны договоров, данные о внутрикорпоративных
правилах взаимодействия, уставы, заключенные договора, должностные
инструкции и т.д.).
3. ПО (в т.ч. данные прикладных программ).
4. Аппаратные средства связи и коммуникаций, то есть сервер баз
данных, телефоны, медные и оптоволоконные кабели, коммутаторы, принтеры,
почтовый сервер.
Основные активы предприятия и их оценка представлены в таблице.
Таблица 2.
Оценка информационных активов предприятия
Вид
деятельн
ости
Наименов
ание
актива
Форма
представ
ления
Владе
лец
актив
а
Критери
и
определ
ения
стоимос
ти
Размерность оценки
Количеств
енная
оценка
Качестве
нная
Информационные активы