78
до контроллера L5T04 у главного входа – 56+4=60 м. Длина кабеля
от контроллера L5T04 у главного входа до конвертера CLE (LBUS-
Ethernet) в шкафу Ritall – 4+6+6=16 м. Общая длина кабеля: 60+16=76
м.
UTP 5 кат. Длина кабеля от компьютера вахтера до коммутатора в
шкафу – 4+6+6=16 м. Плюс пару метро от конвертера до
коммутатора. Итого: 16+2=18 м.
В таблице 18 представлена спецификация оборудования, которая
потребуется для реализации проекта.
Таблица 18
Спецификация оборудования
Наименование и техническая характеристика
Ед.
изм.
Кол- во
Блок сервер Pentium 4-3GHz/ ASUS P8Z77 WS / DDR3 - 4GB/
видео ASUS 4096mb/ HDD 4 Tb/ ATX/ DVD RW
шт.
2
Рабочие места Pentium 4-2,5/ ASUS P8Z77 WS / DDR3 - 2GB/
видео ASUS 512mb/ HDD 500Gb/ ATX/ DVD RW
шт.
2
Монитор 21 дюйм
шт.
3
Контроллер L5TO4
шт.
3
Конвертер CLE (LBUS-Ethernet)
шт.
1
Считыватель PLR3
шт.
6
Турникет «PERCo»
шт.
2
Замок электромагнитный ML300, 12В
шт.
1
Дверной доводчик KING-630, до 120 кг.
шт.
1
Кнопка выхода «Exit»
шт.
1
Источник бесп. питания Smart-UPS RT 6000VA RM 230V
шт.
1
Аккумуляторная. батарея Smart UPS RT 192V RM
шт.
3
Шкаф 800*2000*(800+50)мм.
шт.
1
Блок розеток 7х200
шт.
1
Кабель-канал 25х16
м.
40
Кабель КСПВ 2х0,40
шт.
150
Кабель ПВС 3х1,5 (Силовой кабель)
м.
150
79
Кабель UTP 5 кат.
м.
50
Установка распределенной версии части производится выбором
соответствующего пункта в меню автозапуска установочного диска «Octagram»
(«Legos») или запуском файла Legos_setup\setup.exe.
Следуя указаниям мастера установки, ПО «Legos успешно установится на
компьютер, а ярлык программы автоматически добавится в меню
Пуск/Программы и на рабочий стол Windows. Далее следует настройка
подключения к базе данных. Окно мастера импорта/экспорта данных Legos
изображено на рис. 23.
Рис. 23. Окно мастера импорта/экспорта данных
В поле «сервер» выбираем сетевое имя компьютера, на котором будет
создана база данных. В поле «аутентификация» настраиваются параметры
доступа к базе данных, оставим «Интегрированная Windows». Выбираем из
спадающего списка базу данных FLEX_DB и нажимаем кнопку «Далее» для
завершения инсталляции. Устанавливаем на удаленных компьютерах в отделе
кадров и на вахте клиентские части программы аналогично серверной.
После установки ПО «Octagram» («Legos») нужно, чтобы система нашла
контроллеры, для этого необходимо убедиться, что
контроллеры объединены в сеть и нормально функционируют;
на конвертер подано питание;
80
каждый контроллер имеет свой уникальный адрес.
В дереве компонент программы следует перейти на пункт «Контроль
доступа», выбрать пункт контекстного меню «Все задачи/Поиск устройств». В
появившемся окне следует выбрать компьютер, на котором установлено ПО и
установить переключатель в одно из положений: COM-порт; IP-адрес; USB-
конвертер. В нашем случае, так как мы используем конвертер TCP/IP,
устанавливаем переключатель в положение IP-адрес. Жмем «ОК». Появится
информационное окно, где будет представлен ход и результат поиска. Новые
контроллеры добавятся в дереве компонент программы в пункте «Контроль
доступа».
После нахождения контроллеров можно приступить к созданию групп и
сотрудников. Группы в программе – это объединение сотрудников по некоторым
признакам, использовать группы не обязательно, они предназначены для удобства
работы с большим количеством сотрудников.
Для нашего предприятия для удобства создадим группы с названиями
отделов. После чего можно приступать к созданию сотрудников. В окне вводим
личные данные сотрудника: фамилию, имя, отчество, табельный номер,
должность, адрес. В поле «Время создания» указывается дата и время создания
записи о сотруднике, в поле «Время изменения» - дата и время последнего
изменения данных о сотруднике. Эти поля заполняются автоматически и не могут
быть изменены.
В завершении осталось создать уровни доступа и присвоить их
сотрудникам. Уровень доступа – это совокупность прав доступа к различным
устройствам с указанием для каждого устройства типа доступа и временных
ограничений. Уровни доступа могут быть присвоены группам сотрудников или
отдельным сотрудникам.
Для создания уровня доступа необходимо выделить пункт дерева компонент
«Модуль БД/Основная БД/Уровни доступа». В контекстном меню выбрать пункт
«Создать/Уровень доступа».
Для добавления строки нажимаем кнопку «Добавить», затем выбираем
необходимый контроллер, тип доступа и расписание из раскрывающихся списков.
81
Сотрудникам, работающим 5 дней в неделю с 08:00 до 17:00 установим
расписание на вход пн-пт 7-18 для контроллера на главном входе и запрет на вход
для контроллера на запасном входе. Сотрудникам IT-отдела установим помимо
входа с пн-пт 7-18 для контроллера на главном входе, пн-вс 18-7 на контроллере
на запасном входе.
82
III. ОБОСНОВАНИЕ ЭКОНОМИЧЕСКОЙ ЭФФЕКТИВНОСТИ
ПРОЕКТА
3.1. Выбор и обоснование методики расчёта экономической
эффективности
Один из распространенных способов определения качества защиты
данных служит обозначение соответствия тех заданию на создание системы
защиты исполненных функций и задач, эксплуатационных характеристик и
требований.
Второй способ, применяемый в отечественной и зарубежной практике -
это анализ функциональной надежности системы, которая также характеризует
качественный уровень системы информационной безопасности в целом и систем
контроля и управления доступом, в частности.
Относительная количественная оценка представляет собой число, которое
требует сравнения с другими числами, используемых в качестве стандарта. Для
их определения используются экспертные оценки.
Необходимым моментом качественной оценки является вопрос о
коррекции и согласовании погрешностей, которые возникают из-за
субъективизма оценок экспертов. Наиболее популярным методом проведения
экспертизы является метод Delphi и его модификации.
Экспертиза может быть направлена на оценку эффективности системы
защиты, уровня допустимого риска, уровня защищенности отдельных подсистем
и др.
В том случае, когда объектом оценки выступает АИС, следует разработать
комплекс механизмов, позволяющих получить количественные показатели
защищенности.
Абсолютная количественная оценка защиты информации в АИС может
описывать издержки, отраженные в денежном обозначении, частоту негативных
инцидентов или другие данные, которые представляются важными в части
гарантии защиты данных.
Началом решения эффективности защиты данных служит сравнение связи
доходов и расходов.
83
Экономический эффект - конкретный результат экономической
деятельности вне зависимости от затрат.
Различают два вида экономической эффективности:
абсолютную - соотношение результатов экономической
деятельности и затрат для достижения этих результатов.
сравнительную - показывает изменение результатов экономической
деятельности по отношению к уже достигнутым результатам.
Особое роль в подсчете эффективности мероприятий, в том числе и
эффективности мероприятий, направленных на увеличение уровня
информационной безопасности, является приведение расчетных величин к
сопоставимым значениям, которое производится до расчетов. Приведение
обеспечивает точность экономических расчетов и их обоснованность.
Расчет экономического эффекта и эффективности защиты информации
основывается на выявлении ущерба, который может быть нанесен владельцу
информации противоправным ее использованием. Такой расчет позволяет
оценить результативность защиты информации.
После осуществления расчетов возможно внесение корректировок в
СУКД с целью оптимизации расходов и увеличения эффективности комплекса
мероприятий в целом.
В условиях сокращения платежеспособного спроса инструменты
управления издержками и их оптимизации часто могут сыграть ключевую роль в
преодолении кризисного периода и дать возможность компании продолжить
успешную конкуренцию на рынке. Доля заработной платы в себестоимости
продукции в России, в среднем, составляет 24-26%. В сфере IT-решений,
консалтинга, сферы услуг доля заработной платы (ЗП) в себестоимости
предлагаемых товаров может достигать 85-90%.
Современные сетевые системы по разграничению прав доступа, как
правило, предоставляют достаточно гибких механизмов для учета перемещения
сотрудников в течение рабочего дня, как в реальном пространстве компании, так
и в возможных виртуальных зонах рабочей активности (поездка по рабочему
поручению). В рамках этих механизмов можно достаточно гибко настроить
84
систему учета, максимально комфортно для сотрудников вписав ее в бизнес
процессы компании.
Рассчитаем величины потерь для критичных информационных ресурсов
до внедрения системы по разграничению прав доступа (Таблица 17).
Таблица 17
Величины потерь (рисков) для критичных информационных ресурсов до
внедрения системы по разграничению прав доступа.
Актив
Угроза
Величина потерь
База данных
бухгалтерии
Кража оборудования. Потеря данных.
Заттраты а восстановление БД.
100 000
Почтовый сервер
Кража оборудования. Затраты на
покупку и настройку.
100 000
Персональные
данные о
сотрудниках
Утечка персональных данных.
Имиджевые потери. Штрафы.
100 000
Кадровый учет
Потеря данных.
50 000
Учетная Система
Потеря данных.
50 000
Программы
целевого
назначения
Потеря дистрибутовов. Считаются
затраты на восстановление.
70 000
Оборудование для
обеспечения связи
Потеря коммутатора для внешнего
подключения в Интернет, а так же
затраты на перенастройку нового.
20 000
Итого по угрозам
600 000
Получили суммарную величину потерь в случае реализации возможных
угроз и рисков. Совокупные потери (по приблизительным подсчетам) могут
составить до 600 000 рублей.
3.2. Расчёт показателей экономической эффективности проекта
Будем считать, что после внедрения мероприятий вероятность
возникновения рисковых ситуаций сократится в 4 раза (Таблица 18).
85
Таблица 18
Величины потерь (рисков) для критичных информационных ресурсов после
внедрения системы по разграничению прав доступа
Актив
Угроза
Величина потерь
База данных
бухгалтерии
Кража оборудования. Потеря данных.
Заттраты а восстановление БД.
25 000
Почтовый сервер
Кража оборудования. Затраты на
покупку и настройку.
25 000
Персональные
данные о
сотрудниках
Утечка персональных данных.
Имиджевые потери. Штрафы.
25 000
Кадровый учет
Потеря данных.
12 500
Учетная Система
Потеря данных.
12 500
Программы
целевого
назначения
Потеря дистрибутовов. Считаются
затраты на восстановление.
17 500
Оборудование для
обеспечения связи
Потеря коммутатора для внешнего
подключения в Интернет, а так же
затраты на перенастройку нового.
5 000
Итого по угрозам
150 000
Рассчитаем постоянные и переменные затраты на внедрение системы по
разграничению прав доступа и определим экономическую эффективность ее
внедрения и срок окупаемости предлагаемых мер.
В ходе проектирования, внедрения и работы системы по разграничению
прав доступа могут быть единичные и постоянные траты. К единичным тратам
можно отнести следующие:
Зарплата сотрудникам при создании и введении системы по
разграничению прав доступа;
Траты на закупку материалов, аппаратного и программного
обеспечения.
К постоянным тратам относятся зарплата работников, обслуживающих
систему по разграничению прав доступа (то есть администратора системы и
вахтера). Впрочем, зарплата данных работников предприятия не изменится,
86
поэтому дополнительных трат на работу системы по разграничению прав доступа
нет.
Разовые затраты оценены в таблице 19.
Таблица 19
Содержание и объем разового ресурса, выделяемого на защиту информации
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасовая
зарплата
специалиста
(руб.)
Трудоемкость
операции
(чел.-час.)
Стоимость,
всего
(руб.)
1.
Разработка технического
задания
250
16
4 000
2.
Выбор СКУД
250
24
6 000
3.
Проектирование СКУД
250
24
6 000
4.
Закупка оборудования и ПО
250
8
2 000
5.
Размещение элементов
СКУД, включая кабельные
линии
250
40
10 000
6.
Обучение пользователей
250
40
10 000
7.
Тестирование СКУД
250
24
6 000
8.
Составление
эксплуатационной
документации
250
8
2 000
9.
Подготовка отчета о
внедрении
250
8
2 000
I. Стоимость проведения организационных мероприятий
48 000
Мероприятия инженерно-технической защиты
№
п\п
п
Номенклатура
Количество
(ед.
измерения)
Стоимость
единицы
(руб.)
Стоимость
всего
(руб.)
Контроллер L5T04
4
5944,5
23778
Считыватель PLR3
6
2128,7
12772
Конвертер CLE
1
4175
4175
Турникет
2
17202,5
34405
ПО Люкс (32/3000)
1
18944
18944
Шкаф напольный
1
17500
17500
Блок розеток
1
300
300
ИБП APC Smart-UPS RT
6000VA
1
106430
106430
Замок электромагнитный
ML300
1
1310
1310
87
Дверной доводчик KING-
630
1
530
530
Кнопка выхода “Exit”
1
390
390
Сервер
2
34965
69930
Рабочая станция
2
20377
40754
Монитор
3
5155
15465
Кабель КСПВ 2х0,40
1 бухта (200 м)
350
350
Кабель ПВС 3х1,5
1 бухта (200 м)
3780
3780
Кабель UTP 5 кат.
1 бухта (100 м)
457
457
Кабель-канал
20 м.
15
300
II. Стоимость проведения мероприятий инженерно-технической
защиты
351 570
III. стоимость монтажных работ
70 314
Общая разовая стоимость мероприятий
469 884
Стоимость программного обеспечения в данной смете уже включена в
стоимость оборудования. Стоимость монтажных работ составляет 20% от
стоимости оборудования, т.е. Итого, с учетом работ по установке, подключению
и настройке оборудования, затраты составят порядка 469 884 рублей.
После реализации проекта к текущим затратам помимо заработной платы
работников УТБ также будут относиться затраты на электроэнергию всей
системы.
Предполагается возложить функции управления и администрирования системы
по разграничению прав доступа на сотрудников IT-отдела, расширив перечень их
обязанностей. Ожидается, что это приведет в росту затрат на ФОТ (фонд оплаты
труда) на 10 000 рублей в месяц, т.е. на 120 000 рублей в год.
Затраты на электроэнергию за год 1970х6,3х4 = 49 644 руб. (1970 часов
работы компьютеров, ИБП, контроллеров и счиытвателей при общей мощности
6,3 кВт ч и стоимости 8 руб./кВт).
Имущество предприятия, которое может подвергнуться хищению
(компьютеры, сетевое оборудование, оргтехника и канцтовары), имеет высокую
стоимость (около 10 000 000 рублей номинально), поэтому последствия его
возможной кражи будут весьма затратны. Чтобы снизить эти затраты имущество
необходимо застраховать по рискам краж. Внедрение проектируемой системы