Оглавление
Введение ..................................................................................................................................... 2
I. АНАЛИТИЧЕСКАЯ ЧАСТЬ ............................................................................................................ 5
1.1. Технико-экономическая характеристика системы контроля и управления доступом в ООО
«Администратор плюс» ............................................................................................................... 5
1.1.1. Общая характеристика предприятия .................................................................................. 5
1.1.2. Организационно - функциональная структура ООО «Администратор плюс». ..................... 6
1.2. Анализ рисков информационной безопасности .................................................................... 7
1.2.1 Идентификация и оценка информационных активов. ......................................................... 7
1.2.2. Оценка уязвимостей активов............................................................................................ 12
1.2.3. Оценка угроз активам....................................................................................................... 15
1.2.4. Оценка планируемых средств защиты.............................................................................. 17
1.2.5. Оценка рисков. ................................................................................................................. 26
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты
информации на предприятии .................................................................................................... 28
1.3.1. Выбор комплекса задач обеспечения информационной безопасности............................ 28
1.3.2. Определение места проектируемого комплекса задач в комплексе задач предприятия,
детализация задач информационной безопасности и защиты информации. ............................ 30
1.4. Выбор защитных мер .......................................................................................................... 32
1.4.1. Выбор организационных мер. .......................................................................................... 32
1.4.2. Выбор инженерно-технических мер. ................................................................................ 33
II Проектная часть ...................................................................................................................... 51
2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты
информации предприятия ......................................................................................................... 51
2.1.1. Отечественная и международная нормативно-правовая основа создания системы
обеспечения информационной безопасности и защиты информации предприятия ................. 51
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия. ..................................... 53
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения информационной
безопасности и защиты информации предприятия. .................................................................. 55
2.2.1 Структура программно-аппаратного комплекса информационной безопасности и защиты
информации предприятия. ........................................................................................................ 55
2.2.2. Контрольный пример реализации проекта и его описание .............................................. 63
III Обоснование экономической эффективности проекта........................................................... 85
3.1 Выбор и обоснование методики расчёта экономической эффективности. ........................... 85
3.2 Расчёт показателей экономической эффективности проекта ............................................... 87
Заключение ............................................................................................................................... 95
Список литературы .................................................................................................................... 98
Приложения .............................................................................................................................101
2
Введение
В последние годы достаточно остро встает вопрос о комплексной
безопасности и защиты информационных активов организаций, ведь
информация является одним из самых ценных ресурсов в наше время.
Существует закон РФ «Об информации, информационных технологиях и защите
информации», им гарантируется право собственника информации на ее
использование и защиту от доступа к ней других лиц и организаций [2]. Так же,
существует всевозможная нормативная документация, правовые акты, другие
законы, регламентирующие порядок работы с информационными данными.
При использовании информация может быть утеряна из-за действий
злоумышленников, помех и сбоя в работе оборудования, халатности
сотрудников. В качестве меры обеспечения защиты данных от
несанкционированного доступа, повреждения и утраты, применяется
специальный комплекс тесно взаимосвязанных между собой методов,
включающих в себя как организационные, правовые, так и технические,
программные и т.д. – системы контроля и управления доступом (СКУД).
Правильное использование этой технологии помогает уменьшить
вероятность несанкционированного вторжения как на всю территорию и здание
организации, так и на конкретные этажи, и в обособленные помещения. Стоит
заметить, что при этом системы СКУД не препятствуют проходу и
перемещению сотрудников и посетителей в разрешенные организацией
помещения и территории; имеют возможность идентификации субъектов,
имеющих доступ на территорию объекта. Так же системы СКУД могут помогать
решать дополнительные задачи, такие как:
учет рабочего времени сотрудников;
наполнение базы данных сотрудников/посетителей;
при объединении СКУД с системой бухгалтерии, возможен расчет заработной
платы;
при объединении СКУД с системой безопасности возможно контролировать
системы видеозаписи, охранной и пожарной сигнализ ации.
3
Системы СКУД ощутимо повышают эффективность работы организации, в
особенности работу служб безопасности, но не стоит забывать, что они не
избавляют от необходимости контроля функционирования систем человеком.
Идеальная пропорция использования технических и человеческих ресурсов
вычисляется в зависимости от уровня угроз безопасности информации,
поставленных задач, количества сотрудников и ряда других факторов.
Сложность выбора определенных систем контроля и управления доступом
(СКУД) заключается в том, что в настоящий момент не составлена
систематизированная аналитическая информация по имеющимся на
сегодняшний день в мире СКУД.
Целью данной работы является решение следующих задач:
рассмотрение необходимости использования системы СКУД на примере объекта
ООО «Администратор плюс»;
проектирование комплекса программно-аппаратных средств СКУД на примере
объекта ООО «Администратор плюс»;
технические решения внедрения СКУД на примере объекта ООО
«Администратор плюс»;
анализ технико-экономических характеристик системы контроля и управления
доступом и анализ рисков информационной безопасности в ООО
«Администратор плюс».
Тема данной работы была выбрана мной для:
глубокое изучение понятия системы контроля и управления доступом (СКУД),
ее принципов работы;
изучение стандартов СКУД, как отечественных, так и зарубежных;
детальное изучение СКУД на примере внедрения на объекте ООО
«Администратор плюс».
Объектом исследования выступает ООО «Администратор плюс». Система
контроля и управления доступом является предметом данной работы.
В данной работе используются как теоретические (анализ, классификация,
обобщение), так и эмпирические (сравнение, измерение и др.) методы
исследования.
4
При выполнении работы была использована современная учебная литература,
научные труды как отечественных, так и зарубежных авторов,
нормативная документация, статьи из журналов в области информационной
безопасности, а также материалы сети интернет.
5
I. АНАЛИТИЧЕСКАЯ ЧАСТЬ
1.1. Технико-экономическая характеристика системы контроля и
управления доступом в ООО «Администратор плюс»
1.1.1. Общая характеристика предприятия
Общество с ограниченной ответственностью «Администратор плюс» -
компания была основана в 2007 году и предоставляет свои услуги аутсорсинга, в
сфере IT. ОГРН: 5077746458060. ИНН: 7702637756. КПП: 770301001.
ООО «Администратор Плюс» – российская компания, успешно
работающая на рынке информационных технологий и предоставляющая услуги
в области системной интеграции. Основным направлением деятельности
компании является проектирование и создание информационных систем, и
дальнейшее сервисное абонентское обслуживание на договорной основе.
Особое внимание мы уделяем системе качественного обслуживания
Заказчиков от проектирования информационных систем до их последующего
сопровождения. В основе работы компании лежит постоянный поиск новых
решений и информационных технологий, расширение и неуклонный рост
качества предоставляемых услуг. Благодаря коллективу компании, состоящему
из высококлассных специалистов в разных областях информационных
технологий, мы реализовали ряд проектов различной степени сложности с
положительными отзывами заказчиков. К числу наших клиентов относятся
государственные организации и структуры, а также различные коммерческие
предприятия.
В данным момент фирма оказывает услуги их спектр широк:
Для рабочих станций и серверов:
• Настройка любых программ.
• Подключение удалённых офисов в единую распределённую сеть
посредством технологии VPN.
• Ремонт компьютеров.
• Регулярная профилактика и предотвращение всех возможных проблем с
компьютерами.
6
• Установка лицензионной ОС с сохранением данных и профиля.
• Безопасность данных и информации, резервное копирование.
• Контроль за расходом Интернет - трафика.
LAN - Локальные сети и всё что с ними связано:
• Проектирование, прокладка и введение в эксплуатацию простых и
сложных локальных сетей.
• Поддержка и развитие уже существующих локальных сетей и сетевых
сервисов.
• Разработка эскизного предложения и технического задания на
проектирование.
• Установка и настройка беспроводных сетей.
Технический аудит
Веб-дизайн:
• Создание и раскрутка сайтов.
• Регистрация доменных имён.
• Размещение сайтов на наших серверах (Хостинг).
• Создание почтовых систем.
• Создание и настройка веб - серверов.
Системы безопасности:
• Монтаж и настройка СКУД.
• Проектирование и монтаж видеонаблюдения.
1.1.2. Организационно - функциональная структура ООО
«Администратор плюс».
Организационная структура предприятия — это состав, соподчиненность,
взаимодействие и распределение работ по подразделениям и органам
управления, между которыми устанавливаются определенные отношения по
поводу реализации властных полномочий, потоков команд и информации.
Генеральный директор является ключевым звеном в организационной
структуре предприятия и непосредственно руководителем всей организации.
7
В организации имеется не большой штат сотрудников, занимающихся
консультированием, сопровождением программного обеспечения и
оборудования клиентов, как в удаленном виде работ, так и в виде работ
выездного характера. Наглядный пример организационной структуры указан на
рис.1.
Рис. 1 – Организационная структура ООО «Администратор плюс»
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов.
Одним из основных компонентов системы является информационный
актив. В такие системы предприятия вкладывают большие средства, вследствие
чего, системам обходима защита со стороны предприятия [5].
Анализ рисков информационной безопасности проводится начальником
компьютерного обеспечения, решение о его проведении принимается также
техническим директором, чаще всего после выявления уязвимостей и утечек
информации.
В ООО «Администратор плюс» обусловлены несколько типов активов:
1. Информация (в первую очередь база данных с информацией, имеющая
конфиденциальный характер, а так же включающая материалы для узкого круга
Генеральный директор
Технический директор
Начальник
компьютерного
обеспечения
Сотрудники технической
поддержки, системные
администраторы
Главный бухгалтер
8
распространения (персональные данные, служебная тайна, коммерческая тайна,
база бухгалтерии – содержит информацию о финансовых операциях,
сотрудниках.
2. Документы (договора и дополнения к ним, копии наряд - заказов, акты и
т.д.).
3. Аппаратные средства (файловый сервер, сервер баз данных,
маршрутизаторы, принтеры, кабеля (витая пара), телефоны, персональные
компьютеры.
4. Программное обеспечение (в т. ч. офисный пакет MS Office).
В таблице 1 указан полный перечень информационных активов фирмы
ООО «Администратор плюс».
9
Таблица 1
Оценка информационных активов ООО «Администратор плюс».
Наименование
актива
Форма
представления
Тип актива
Вид деятельности
Качественная
оценка
Информационные активы
База данных
клиентов
Электронная
Информация, данные
Логины, пароли к
серверам клиентов и т. п.
Критическое
значение
База данных
бухгалтерии
Электронная
Информация, данные
Учет в организации
Критическое
значение
База данных наряд -
заказов
Электронная
Информация, данные
Хранение и обработка
заявок клиентов
Критическое
значение
Персональные
данные сотрудников
Электронная
Информация, данные
Учет в организации
Среднее значение
Штатное расписание
и кадровый учет
Бумажный документ
Информация, данные
Учет в организации
Малое значение
Активы аппаратных средств
Принтеры
Материальный объект
Аппаратные средства
Обработка заявок
клиентов, распечатка
счетов
Малое значение