16
Рис. 1.4. Затраты ЦФКиС ЦАО г. Москвы
На фоне увеличивающейся себестоимости, затраты снижаются на 0,11% за
счет оптимизации накладных расходов и более жесткого подхода к конкурсам на
реализацию обеспечивающих услуг сторонними компаниями.
Рис. 1.5. Объем реализации услуг ЦФКиС ЦАО г. Москвы
92,1
92
91,94
91,96
91,98
92
92,02
92,04
92,06
92,08
92,1
92,12
2015 2016
Затраты на 1 руб, коп.
28331,7
31920
26000
27000
28000
29000
30000
31000
32000
33000
2015 2016
Объем реализации услуг тыс.руб.
17
Рис. 1.6. Численность посетителей ЦФКиС ЦАО г. Москвы
Аналогичным образом растет число посетителей (по данным числа заклю-
ченных договоров обслуживания как частных лиц, так и корпоративных клиентов)
и сумма прибыли от коммерческих договоров на оказание услуг по физкультуре и
спорту. Пря обязательном исполнении обязательств по бесплатному оказанию
услуг по перечисленным видам спорта для населения города Москвы.
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов.
Процесс анализа рисков — это инструмент, с помощью которого можно
определить цели управления информационной базой ЦФКиС ЦАО г. Москвы,
оценить основные критичные факторы, негативно влияющие на ключевые бизнес-
процессы и выработать осознанные, эффективные и обоснованные решения для их
контроля или минимизации. Цель такого управления состоит в сохранении конфи-
денциальности, целостности и доступности информации. Вопрос только в том, ка-
кую именно информацию необходимо охранять и какие усилия прилагать для
обеспечения ее сохранности [7,9] (см. рисунок 1.7).
258
301
230
240
250
260
270
280
290
300
310
2015 2016
Количество посетителей
18
Рис. 1.7 Взаимосвязь процессов управления и защиты в организации.
С точки зрения анализа рисков, к основным активам относятся:
1. непосредственно информация,
2. инфраструктура,
3. персонал,
4. имидж и репутация ЦФКиС ЦАО г. Москвы.
Информационную основу активов ЦФКиС ЦАО г. Москвы составляют пер-
сональные данные. В отличие от других видов информации персональные данные
имеют свои особенности, поскольку непосредственно затрагивают интересы каж-
дого гражданина, правовое положение которого определяется Конституцией Рос-
сийской Федерации и регулируется федеральным законодательством. Персональ-
ные данные о требуют особого режима государственной защиты от попыток
нарушения прав человека.
Деятельность организации автоматизирована при помощи ряда программ-
ных продуктов ЦФКиС ЦАО г. Москвы. Идентифицировать и локализовать ин-
формацию можно на основании описания бизнес-процессов, в рамках которых
информация рассматривается как один из типов ресурсов. Вся имеющаяся внутри
системы информация может быть отнесена к категории закрытой, корпоративной
19
информации, которую следует защищать. В организации принят подход регламен-
тации бизнес-деятельности (например, в целях управления качеством и оптимиза-
ции бизнес-процессов). Формализованные описания бизнес-процессов послужили
хорошей стартовой точкой для инвентаризации активов. Но описания автоматизи-
руемых бизнес-процессов по состоянию на сегодняшний день не являются акту-
альными и сами бизнес-процессы требуют реинжиниринга. Идентификация акти-
вов производилась, в том числе, на основании сведений, полученных от сотрудни-
ков организации. Ценность, определенная для каждого актива в процессе проведе-
ния исследований, выражалась способом, наилучшим образом соответствующим
данному активу и юридическому лицу, ведущему деловую деятельность. Чтобы
выполнить оценку активов, была проведена инвентаризация всех активов. Для
обеспечения полного учета активов они были сгруппированы по типам, а также
назначались «владельцы» активов, которые несут ответственность за определение
их ценности.
Далее осуществлено согласование масштабов оценки, которая должна быть
произведена, и критериев определения конкретной стоимости активов. Из-за раз-
нообразия активов большинства организаций весьма вероятно, что некоторые ак-
тивы из тех, что могут быть оценены в денежных единицах, будут оцениваться в
рублях, в то время как другие активы могут оцениваться по качественной шкале в
диапазоне от «очень низкой» до «очень высокой» цены. [10] Как показывает прак-
тика, перечень угроз, систематизированных в процессе анализа угрозы информа-
ционным ресурсам является, как правило, типовым и чаще всего уточняется на ме-
сте (сокращается или дополняется) на основе анализа организации бизнес-
процессов объекта анализа. Типовой перечень, составленный на основе рекомен-
даций, подробно описанных в [16] и [17] представлены в приложении 2. Уточне-
ние и более детальный характер угроз и уязвимостей объекта исследования уточ-
нялся на основе опросных листов, представленных в приложении 3 и 4. Решение
использовать количественную или качественную оценку принималась в ходе про-
ведения аудита, но при этом выбранный тип оценки соответствует подлежащим
оценке активам. Для одного и того же актива использованы оба типа оценки.
20
Типичными терминами, используемыми для качественной оценки ценности
активов, являются:
1. пренебрежимо малая,
2. очень малая,
3. малая,
4. средняя,
5. высокая,
6. очень высокая,
7. имеющая критическое значение.
Выбор и диапазон терминов, являющихся подходящими для ЦФКиС ЦАО г.
Москвы, в значительной степени зависел от потребностей в безопасности, величи-
ны самой ЦФКиС ЦАО г. Москвы, а также других, специфичных для данной орга-
низации бизнес-процессов факторов. Общая структура активов ЦФКиС ЦАО г.
Москвы представлена в приложении 1. Активы, имеющие наибольшую ценность:
1. Серверы.
2. Доступ к информационным ресурсам (БД).
3. Программное обеспечение.
4. Документы.
5. Компьютеры.
Общая оценка информационных активов ЦФКиС ЦАО г. Москвы представ-
лена в таблицах 1.4 и 1.5.
Таблица 1.4-Оценка информационных активов ЦФКиС ЦАО г. Москвы
Вид актива
Наименование актива
Форма представления
Информационные ак-
тивы
Документы
Файлы электронной по-
чты, стандарты форм,
справочники, приказы
Бумажный документ и элек-
тронный вид документа.
Электронный носитель
Активы программного
обеспечения
Офисные программы;
Системное ПО; Антивирус-
ное ПО
Электронный носитель
Физические активы
Аппаратные средства
Материальный объект
21
Вид актива
Наименование актива
Форма представления
(компьютеры, принтера,
факсы)
Серверы
Таблица 1.5-Детализированная оценка информационных активов
ЦФКиС ЦАО г. Москвы
Вид
деятельности
Наименование
актива
Форма
представле-
ния
Владелец актива
Критерии опреде-
ления стоимости
Размерность
оценки
Ко-
лич.
Качеств.
Информационные активы
обработка до-
кументов
Документы
Бумажный
документ
и элек-
тронный
вид доку-
мента.
Фин. служба
Первона-
чальная сто-
имость акти-
ва
23
малая
обработка до-
кументов
БД
ЦФКиС
ЦАО г.
Москвы
Электрон-
ный носи-
тель
Фин. служба
Первона-
чальная сто-
имость акти-
ва
118
Сред-
няя
доступ к ин-
формационным
ресурсам
БД
ЦФКиС ЦАО
г. Москвы
Электрон-
ный носи-
тель
ИТ служба;
Службы
аудита и
разработки,
аналитиче-
ская, взаи-
модействия с
клиентами и
PR.
Первоначаль-
ная стоимость
актива
62
сред-
няя
обмен корре-
спонденцией
Файлы
электрон-
ной почты,
стандарты
форм,
справочни-
ки, прика-
зы
Электрон-
ный носи-
тель
Все сотруд-
ники
Первоначаль-
ная стоимость
актива
457
Малая
Активы программного обеспечения
11,5
Офисные
програм-
мы;
Электрон-
ный носи-
тель
Сотрудники
Первона-
чальная сто-
имость акти-
ва
457
малая
обеспечение
непрерывной
работы
Системное
ПО; Анти-
вирусное
ПО
Электрон-
ный носи-
тель
ИТ - служба
Первона-
чальная сто-
имость акти-
ва
457
сред-
няя
22
Вид
деятельности
Наименование
актива
Форма
представле-
ния
Владелец актива
Критерии опреде-
ления стоимости
Размерность
оценки
Ко-
лич.
Качеств.
обработка до-
кументов
ПО «СПД»
Электрон-
ный носи-
тель
ИТ - служба
Первоначаль-
ная стоимость
актива
457
сред-
няя
Физические активы
доступ к ин-
формационным
ресурсам
Аппаратные
средства
(компьюте-
ры, прин-
теры, фак-
сы)
Мат.объект
Сотрудники
Первоначаль-
ная стоимость
актива
457
очень
высо-
кая
хранение дан-
ных
Серверы
Мат. объ-
ект
ИТ - служба
Первоначаль-
ная стоимость
актива
43
высо-
кая
Помимо основных активов ЦФКиС ЦАО г. Москвы, в сферу основных инте-
ресов службы безопасности входит перечень сведений, которые необходимо за-
щищать и которые составляют коммерческую тайну. Такой перечень представлен
в таблице 1.6.
Таблица 1.6.- Перечень сведений конфиденциального характера
Вид конфиденциальной
информации
Перечень сведений
Законодательная норма
Информация, состав-
ляющая коммерче-
скую тайну
Сведения любого характе-
ра (производственные,
технические, экономиче-
ские, организационные и
другие), в том числе о ре-
зультатах интеллектуаль-
ной деятельности в научно-
технической сфере, а так-
же сведения о способах
осуществления профессио-
нальной деятельности, ко-
торые имеют действитель-
ную или потенциальную
коммерческую ценность в
силу неизвестности их тре-
тьим лицам
Статья 3 Федерального
закона от 29.07.2004 N
98-ФЗ "О коммерче-
ской тайне"
Банковская тайна
Сведения об операциях, о
счетах и вкладах органи-
заций - клиентов банков и
корреспондентов
Статья 26 Федерально-
го закона от
02.12.1990 N 395-1 "О
банках и банковской
деятельности"
Сведения, связанные
Любые сведения и доку-
Статья 9 Федерального
23
Вид конфиденциальной
информации
Перечень сведений
Законодательная норма
с аудитом организа-
ции
менты, полученные и (или)
составленные аудиторской
организацией и ее работ-
никами, а также индивиду-
альным аудитором и работ-
никами, с которыми им за-
ключены трудовые догово-
ры, при оказании услуг,
предусмотренных настоя-
щим Федеральным зако-
ном, за исключением: 1)
сведений, разглашенных
самим лицом, которому
оказывались услуги,
предусмотренные настоя-
щим Федеральным зако-
ном, либо с его согласия;
2) сведений о заключении
с аудируемым лицом дого-
вора о проведении обяза-
тельного аудита; 3) сведе-
ний о величине оплаты
аудиторских услуг
закона от 30.12.2008 N
307-ФЗ "Об аудитор-
ской деятельности"
В практике работы службы безопасности ЦФКиС ЦАО г. Москвы, режим
конфиденциальности определяется в отношении следующей информации:
1. перечня сведений, составляющих коммерческую тайну;
2. перечня конфиденциальной информации в организации;
3. договорных регулирований отношений с работниками;
4. договорных регулирований отношений с контрагентами путем уста-
новления соответствующих положений в договоре;
5. нанесением на материальные носители конфиденциальной информа-
ции ограничительных отметок и грифа конфиденциальности с указанием ее обла-
дателя и ответственного за разработку.
Кроме указанных мер в ЦФКиС ЦАО г. Москвы применяются средства и
методы технической защиты конфиденциальной информации, а также другие ме-
ры, не противоречащие законодательству Российской Федерации.
24
Режим коммерческой тайны в ЦФКиС ЦАО г. Москвы не устанавливается в
отношении следующих сведений:
содержащихся в учредительных документах юридического лица и до-
кументах, подтверждающих факт внесения записей о юридических
лицах в государственные реестры;
содержащихся в документах, дающих право на осуществление пред-
принимательской деятельности;
о численности, составе работников, системе оплаты труда, об услови-
ях труда, в том числе об охране труда, о показателях производствен-
ного травматизма и профессиональной заболеваемости, наличии сво-
бодных рабочих мест;
о задолженности работодателей по выплате заработной платы и по
иным социальным выплатам;
о нарушениях законодательства РФ и фактах привлечения к ответ-
ственности за их совершение;
о размерах и структуре доходов некоммерческих организаций, о раз-
мерах и составе их имущества, об их расходах, о численности и об
оплате труда их работников, об использовании безвозмездного труда
граждан в деятельности некоммерческой организации;
о перечне лиц, имеющих право действовать без доверенности от име-
ни юридического лица;
сведений, обязательность раскрытия которых или недопустимость
ограничения доступа, к которым установлена федеральными законами
до вступления в силу Закона N 98-ФЗ.
Все указанные особенности в отношении подобного рода информации обя-
зательны к выполнению в рамках работы службы безопасности. В таблице 1.7
представлены сведения, касающиеся ранжирования основных активов ЦФКиС
ЦАО г. Москвы.
Таблица 1.7.- Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
25
Наименование актива
Ценность актива (ранг)
Обеспечение непрерывной работы (ПО)
2
Обмен корреспонденцией
2
Защита данных (ПО)
3
Управление данными (ПО)
3
Обработка документов (ПО)
3
Доступ к информационным ресурсам (до-
кументы)
3
Пользовательские компьютеры (рабочие
станции, ноутбуки, терминалы и т.п.)
4
Документы
4
Серверы
5
Инфраструктура информационной системы ЦФКиС ЦАО г. Москвы пред-
ставлена в приложениях 5 и 6. Имеющаяся инфраструктура позволяет решать за-
дачи автоматизации бизнес-процессов. Каждый филиал ЦФКиС ЦАО г. Москвы
оснащен современной вычислительной, телекоммуникационной и копировальной
техникой. Все вычислительные средства объединены локальной сетью. Во всех
спортивных объектах в качестве средства объединения используется беспровод-
ный доступ к ресурсам через технологию Wi-Fi. Также часть вычислительных
средств головного офиса также имеют подключение к сети Wi-Fi.
1.2.2. Оценка уязвимостей активов.
К рассматриваемым в работе активам компании, в соответствии с положе-
ниями, рассмотренными в [6, 7, 9, 11], относятся:
1. Конфиденциальная информация.
2. Базы данных с конфиденциальной информацией, входящие в состав
частных информационных систем филиалов.
3. Программные средства с базами данных с конфиденциальной инфор-
мацией.
4. Технические средства с программными средствами с базами данных с
конфиденциальной информацией.
К активам организации также относится персонал, информационная и сете-
вая инфраструктура, здания и сооружения, в которых происходит хранение и об-
работка информации. [16]