85
• Microsoft Windows Server 2008 R2 Service Pack 1 (32/64 бит);
• Windows Server 2012 (64 бит).
Установка ПО Timex предусматривает три варианта:
• автоматическая полная установка;
• автоматическая установка клиентского ПО на компьютере
пользователя;
• выборочная ручная установка.
В верхней строке окна (см. рисунок выше) расположено его название. В
правом верхнем углу находятся стандартные кнопки, позволяющие
свернуть/изменить размер/закрыть окно.
Ниже названия утилиты находятся вкладки для быстрого перехода от
выполнения основных функций (вкладка Главная), к настройке внешнего вида
окна (вкладка Вид) или к справочной системе (вкладка Справка).
Для выполнения действий с устройствами перейдите на страницу Системы
-> Терминалы.
Кнопки для выполнения операций с терминалами/контролле рам и
расположены в группах Терминалы, События, Полная реконфигурация и
Дополнительно на ленте быстрого доступа.
Операции выполняются только для выбранных устройств, можно выбрать
несколько устройств для выполнения требуемой операции с использованием
стандартных клавиш группового выбора Shift и Ctrl.
Чтобы начать работу с системой, необходимо добавить терминал или
контроллер. При добавлении сетевых устройств надо учитывать, что все они
поставляются, как правило, одним сетевым адресом 192.168.1.201. Во избежание
конфликтов сетевых адресов следует включать устройства в сеть и добавлять по
одному или предварительно настраивать адреса средствами меню устройства (для
устройств с дисплеем и клавиатурой). IP-адрес устройства, установленный по
умолчанию, можно поменять на уникальный в Мастере добавления нового
устройства или уже после добавления устройства - в подокне Настройки
терминала.
86
Рис. 2.6 Подключение нового устройства
Схема программного обеспечения с учетом элементов системы защиты
информации приведена на рисунке 2.7.
87
TCP/IP
Сервер
1С Бухгалтерия 2.0
MS Office 2007
McAfee Active
Protection
Outpost Security
Suite Service
Windows 7 Professional Edition 32 bit
1С Управление
торговлей
MS Office 2007
McAfee Active
Protection
Outpost Security
Suite Service
Hidden
Administrator
MS Office 2007
McAfee Active
Protection
Outpost Security
Suite Service
TCP/IP
TCP/IP
TCP/IP
АРМ сотрудников ИТ-
отдела
АРМ бухгалтеров
АРМ сотрудников
McAfee Active
Protection
Lotus
Windows 7 Professional Edition 32 bit
Windows 7 Professional Edition 32 bit
Сервер
Бастион-Elsys
К сетевым контроллерам
АРМ администратора СКУД
Windows 7 Professional Edition 32 bit
MS Office 2007
McAfee Active
Protection
Outpost Security
Suite Service
Windows 7 Professional Edition 32 bit
MS Office 2007
McAfee Active
Protection
Outpost Security
Suite Service
АРМ контролера СКУД
Сервер СКУД
Oracle
Timex Free,
Timex Base
Timex AC
Timex TA
Timex GT
Timex Checkpoint
Timex ID
Timex RD
MS SQL Server 2008 R2 Express
Рис. 2.7 Схема программного обеспечения с учетом элементов системы
защиты информации
Схема расположения элементов СКУД на плане помещений приведена на
рисунке 2.8.
Вниз
Вниз
РМ 1.1
РМ 1.3
РМ 1.4
РМ 1.5
РМ 1.6
РМ 1.8
РМ 1.9
Серверная
РМ 1.6
САМ 1.8
1
2
Программное обеспечение Timex
Контроллер ST-NC441B
3
3 3
3
3
3
Smartec ST-FR031EM+ST-ER115
Рис. 2.8 Схема размещения элементов СКУД
88
3 ОБОСНОВАНИЕ ЭКОНОМИЧЕСКОЙ ЭФФЕКТИВНОСТИ
ПРОЕКТА
3.1 Выбор и обоснование методики расчёта экономической
эффективности
Проблема определения и построения качественной и стабильной системы
информационной безопасности для компаний, функционирующих в различных
отраслях экономики, часто является одной из самых важных задач, требующих
оперативного, грамотного, научно и технически обоснованного решения.
Внедрение современной IT-системы и средств коммуникаций в рабочий процесс
государственных организаций и коммерческих компаний, кроме заметных
положительных сторон, имеет также отрицательный момент, связанный в первую
очередь с открывающейся перспективой реализации преступлений с
использованием различной электронной аппаратуры и персональных
компьютеров. В качестве объекта таких преступлений чаще всего выступает
экономическая ИС и, соответственно, находящаяся в ней коммерческая, научная,
производственная и другая информация.
Экономическая информационная система рассматривается как
совокупность внутренних и внешних потоков обратной и прямой
информационной связи самого объекта, методов, специфик, технологов, которые
участвуют в процессе обработки данных и определении управленческих решений.
Взаимосвязь потоков данных прямой и обратной информационной связи, средств
обработки, передачи и сохранения информации, а также пользователей, которые
являются частью управленческого аппарата и выполняют операции по
переработке данных, позволяет создавать ИС экономического объекта.
Следовательно, любой системе управления экономическим объектом
соответствует собственная ИС, которую можно назвать экономической
информационной системой. Сегодняшний уровень информатизации общества
заранее определяет использование инновационных технических,
технологических, программных средств в различных ИС экономических
объектов. В последствии экономический объект является таким объектом,
89
который связан с производством материальных или нематериальных благ и имеет
собственную систему контроля.
Подобная система контроля представляет собой взаимосвязь объекта
управления, например предприятия, и субъекта управления. Последний может
объединять в себе сотрудников, составляющих цели, строящих планы,
разрабатывающих требования к принимаемым решениям, а также
координирующих их выполнение. Задачей объекта управления является
выполнение планов, поставленных управленческим аппаратом, то есть
осуществление той деятельности, для которой строилась система управления в
принципе. Оба компонента системы управления образуют прямую и обратную
связь. Прямая связь выражается потоком направленных данных от
управленческого аппарата к элементу управления, а обратная представляет из
себя поток отчетной информации о успешном или неуспешной выполнении уже
принятых решений, который уже направлен в обратном направлении.
Методы нарушению информационной безопасности предполагают
применение различных средств для осуществления компьютерных преступлений,
направленных на экономические ИС. Компьютерные преступления могут быть
применены непосредственно на персональный компьютер или его составные
части, ЛВС, базу данных, системное ПО и т.д. В отдельных случаях, при
реализации преступлений подобного рода, в качестве объекта для нападения
могут выступать отношения сотрудников, нарушение которых приводит к потере
доверия к приходящей информации, неразглашение несанкционированного
доступа и т.д. Таким образом, ЭИС является объектом особого внимания со
стороны разных классов нарушителей, и обеспечение безопасности ИС на
сегодняшний день является актуальной задачей.
Развитие мировой компьютерной Интернет-сети предопределяет
появление ранее неизвестных каналов несанкционированного доступа к
информационным данным. В числе факторных групп, которые могут
активировать распространение компьютерных преступлений, нужно выделить:
экономические, технические и правовые. К первой группе можно отнести
развитие рыночных взаимоотношений, изменение формы собственности,
отсутствие государственного регулирования в экономике, развитие новой сферы
90
предпринимательской деятельности, которая подразумевает информацио нный
бизнес и др. Конкуренция выявляет необходимость владения соответствующей
информацией, характеризующей многие аспекты бизнес-процессов и
деятельности учреждения. Обычно эти сведения касаются цен и объемов поставок
товаров по контрактам, финансовое положение учреждения и перспективы ее
дальнейшего развития, содержание и дата вступления в законную силу
нормативных актов, и многое другое. Причем какие данные могут относиться как
к процессу работы государственных органов и коммерческих подразделений, так
и отдельных лиц. В любом случае, имея на руках необходимые данные, ее
владелец может вполне адекватно предпринять соответствующие меры по
исключению и недопущению отрицательных последствий изменения ситуации по
отношению к себе. Следовательно, если пользователь имеет какую-то
информацию и при этом нарушает правовые и этические нормы, то такие
действия могут пресекаться и преследоваться по закону, и это подробно
прописано в соответствующих статьях УК РФ. Ко второй группе относят такие
факторы, как: увеличение количества ПК, развитие компьютерных сетей и
коммуникаций, открытость и доступность большого количества ПО и т.д. И,
наконец, в третью группу входят правовые вопросы. Это объясняется, во многом,
неполноценностью многих юридических аспектов относительно способов
функционирования информации в качестве конкретного товара или ресурса,
сложной процедурой получения авторского права на программные продукты. При
анализе зарубежной и отечественной практики можно говорить о важности
решения проблемы обеспечения ИБ применительно к информационной системе.
В ЭИС право выбора средств и методов для организации информацио нно й
безопасности принадлежит ее владельцу, который исходит из своих
материальных возможностей и существующих ограничений. Технические
решения по обеспечению безопасности ИС основываются на заранее
выработанных требованиях и условиях эксплуатации (качество защиты, ее цена,
расходы на амортизацию и поддержание информационной безопасности и др.).
Особую значимость при построении системы ИС включают вопросы
экономического обеспечения и увеличения жизненного цикла информацио нно й
системы. К компонентам экономического обеспечения обычно относят
91
оптимизацию структуры системы безопасности с учетом ее эффективности и
затрат на обеспечение должного уровня ИБ, оценки эффективности деятельности
ИБ, методики выбора лучшего варианта ИБ с точки зрения экономического
развития, модели инвестиционной привлекательности и возможности
дальнейшего развития ИС.
Обычно оценка экономической эффективности системы информацио нно й
безопасности включает в себя комплекс различных подходов и методик, как
классических общих подходов к оценке эффективности, так и специальных,
учитывающих особенности применения ИС. Отправной точкой при разработке
моделей эффективности ИБ становится определение, что с одной стороны, при
взломе системы защиты информации наносится ущерб, с другой стороны
построение и обеспечение ИБ тесно связано с расходованием материаль ных
средств. Разница стоимости защиты и потерь от ее взлома и нарушения ИБ с
учетом необходимого уровня защищенности и возможных потерь, дает
возможность рассчитать экономический эффект от внедрения СИБ. Расходы на
построение и ввод в действие СИБ сходны с инвестициями, поскольку также
подразумевают вложение средств, риски и получение прибыли. Под выгодой в
данном случае нужно понимать не поток денежных средств, а значительное
уменьшение потерь от возможных реализованных угроз.
Рассчитаем величины потерь для критичных информационных ресурсов до
внедрения СЗИ (таблица 3.1.).
Таблица 3.1
Величины потерь (рисков) для критичных информационных ресурсов до
внедрения СЗИ
Риск
Актив
Величина
потерь
(тыс.руб.)
Некомпетентное использование,
настройка или неправомерное
отключение средств защиты
Персональные данные
заявителей
21
Финансовая и налоговая
отчетность
17
Персональные данные
сотрудников
30
Сведения о поступивших
обращениях
53
Сведения о прогнозе ЧС
42
92
Риск
Актив
Величина
потерь
(тыс.руб.)
Входящая и исходящая
корреспонденция
60
Перечень платежных
документов
25
Использование программных
средств и информации без
гарантии источника
Персональные данные
заявителей
19
Финансовая и налоговая
отчетность
16
Персональные данные
сотрудников
21
Сведения о поступивших
обращениях
6
Сведения о прогнозе ЧС
20
Входящая и исходящая
корреспонденция
42
Перечень платежных
документов
32
Отключение или вывод из строя
подсистем обеспечения
функционирования
информационных систем
Персональные данные
заявителей
27
Финансовая и налоговая
отчетность
31
Персональные данные
сотрудников
11
Сведения о поступивших
обращениях
20
Сведения о прогнозе ЧС
19
Входящая и исходящая
корреспонденция
17
Перечень платежных
документов
20
Нарушения персоналом
организационных мер по
обеспечению ИБ
Персональные данные
заявителей
21
Финансовая и налоговая
отчетность
17
Персональные данные
сотрудников
30
Сведения о поступивших
обращениях
53
Сведения о прогнозе ЧС
42
Входящая и исходящая
корреспонденция
60
Перечень платежных
документов
25
93
Риск
Актив
Величина
потерь
(тыс.руб.)
Несанкционированный доступ к
ресурсам информацио нно й
системы с рабочих станций
легальных пользователей
Персональные данные
заявителей
19
Финансовая и налоговая
отчетность
16
Персональные данные
сотрудников
21
Сведения о поступивших
обращениях
6
Сведения о прогнозе ЧС
20
Входящая и исходящая
корреспонденция
42
Перечень платежных
документов
32
Выход из строя оборудования
информационных систем и
оборудования
Персональные данные
заявителей
27
Финансовая и налоговая
отчетность
31
Персональные данные
сотрудников
11
Сведения о поступивших
обращениях
20
Сведения о прогнозе ЧС
19
Входящая и исходящая
корреспонденция
17
Перечень платежных
документов
20
Итого:
1098
3.2 Расчёт показателей экономической эффективности проекта
В прошлой главе был рассчитан суммарный объем потерь, которые могут
быть в случае реализации рассмотренных угроз. В этой главе постараемся
рассчитать постоянные и переменные затраты на внедрение СЗИ и выразим
экономическую эффективность такого внедрения, а также срок предполагаемой
окупаемости введенных мер безопасности.
В процессе создания, внедрения и использования СЗИ возникают
постоянные и разовые затраты. К разовым затратам можно отнести:
94
• Заработная плата персонала в процессе проектирования и установки
СЗИ;
• Затраты на покупку материалов, программного и аппаратного
обеспечения.
Постоянные затраты обычно включают в себя заработную плату
сотрудников, обслуживающих данную СЗИ. Но поскольку организацио нных
изменений в процессе проектирования системы не вносилось (то есть не было
предусмотрено появление новых должностей), а все обязанности по
обслуживанию такой системы перекладываются на сотрудников IT-отдела, то
данные затраты учитывать не станем.
Разовые затраты оценены в таблице 3.2..
Таблица 3.2
Содержание и объем разового ресурса, выделяемого на защиту
информации
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасовая
зарплата
специалиста
(руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1.
Разработка технического
задания
125
40
5
2.
Разработка технического
предложения
115
24
2,7
3.
Согласование и
утверждение ТЗ
115
20
2,3
4.
Разработка проекта СЗИ
115
12
1,3
5.
Расчет потребности в
оборудовании
115
50
5,7
6.
Планирование кабельной
системы СЗИ
115
25
2,8
7.
Разработка подсистемы
электрообеспечения
115
34
3,9
8.
Внедрение СЗИ
115
90
10,3
9.
Разработка инструкций и
других руководящих
документов
115
30
3,4
10.
Тестирование
115
12
1,3
11.
Обучение пользователей
115
40
4,6
12.
Ввод в эксплуатацию
115
12
1,3
Стоимость проведения организационных мероприятий, всего
45