6
Содержание
Введение ................................................................................................................... 7
I Аналитическая часть ............................................................................................ 10
1.1Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения). .......................................................... 10
1.1.1Общая характеристика предметной области. ....................................... 10
1.1.2Организационно-функциональная структура предприятия. ................ 12
1.2Анализ рисков информационной безопасности ...................................... 13
1.2.1Идентификация и оценка информационных активов. .......................... 13
1.2.2Оценка уязвимостей активов. ................................................................ 18
1.2.3Оценка угроз активам............................................................................. 28
1.2.4Оценка существующих и планируемых средств защиты. .................... 31
1.2.5Оценка рисков. ....................................................................................... 38
1.3Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ........................................................... 47
1.3.1Выбор комплекса задач обеспечения информационной безопасности.47
1.3.2Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации. 53
1.4Выбор защитных мер ................................................................................ 59
1.4.1Выбор организационных мер................................................................. 59
1.4.2Выбор инженерно-технических мер...................................................... 61
II Проектная часть .................................................................................................. 69
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия. ..................................... 69
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия. 69
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия. 72
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия. ....... 73
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия. ..................................... 73
2.2.2. Контрольный пример реализации проекта и его описание. ............... 74
III Обоснование экономической эффективности проекта ................................... 90
3.1Выбор и обоснование методики расчёта экономической эффективности90
3.2 Расчёт показателей экономической эффективности проекта ................ 92
Заключение ............................................................................................................. 94
Список использованной литературы ..................................................................... 96
Приложения ............................................................................................................ 99
7
Введение
Современный этап развития общества характеризуется возрастающей
ролью информационной сферы, представляющей собой совокупность
информации, информационной инфраструктуры, субъектов, осуществляющих
сбор, формирование, распространение и использование информации, а также
системы регулирования возникающих при этом отношений.
Успех и развитие современной организации в условиях острой
конкуренции в значительной степени зависят от применения информационных
технологий, следовательно, от степени обеспечения информационной
безопасности.
Важнейшей проблемой информационной безопасности является защита
информационных систем от несанкционированного доступа. Пути решения
этой проблемы связаны с системным анализом, вопросами надежности,
механизмами защиты и экономической эффективностью их внедрения в
практику.
Тема аттестационной работы посвящена разработке системы защиты
объекта информатизации предприятия. Различают следующие виды объектов
информатизации (ГОСТ РО 0043-003-2012 «Защита информации. Аттестация
объектов информатизации. Общие положения»):
выделенные (защищаемые) помещения;
средства изготовления и размножения документов (средства без
ПЭВМ);
средства обработки речевой и видеоинформации (средства без
ПЭВМ);
автоматизированные (информационные системы) (АРМ, ЛВС,
распределенные системы имеющие подключение к сетям общего пользования и
без подключения).
8
Актуальность работы определяется тем, что организации, в которых
работает или учится большое количество людей и соответствующие
определению объекта информатизации больше всего нуждаются в
дополнительной защите.
Актуальность темы исследования определяется постоянно
возрастающим уровнем требований к информационной безопасности.
Объектом исследования является ООО "Мэйл.Ру Груп".
Предмет исследования – внедрение системы контроля и управления
доступом.
Целью данной работы является повышение уровня информационной
безопасности на примере конкретной организации путем внедрения системы
контроля и управления доступом. Для достижения поставленной цели
необходимо решить следующие основные задачи:
рассмотреть основные понятия информационной безопасности и управления
доступом, перечислить методы и средства обеспечения информационной
безопасности в организации;
провести сравнительный анализ современных средств управления доступом;
определить нормативно-правовую базу исследования, рассмотреть
организационные особенности внедрения системы управления доступом в
организации;
исследовать деятельность выбранной организации, провести анализ рисков
информационной безопасности;
перечислить комплекс задач повышения уровня безопасности доступа,
привести контрольный пример реализации проекта;
оценить эффективность проекта повышения контроля управления доступом.
Выпускная квалификационная работа состоит из введения, основной
части (состоящей из трех глав), заключения, списка использованных
источников и приложений.
9
В теоретической части работы рассмотрены особенности
информационной безопасности и обеспечения контроля управления доступом,
проведен сравнительный анализ современных средств управления доступом,
также определена нормативно-правовая база исследования.
В практической части исследована деятельность организации, проведен
анализ рисков информационной безопасности, перечислен комплекс задач
повышения уровня ограничения доступа в систему и приведен контрольный
пример реализации проекта.
В данной работе используются как теоретические (анализ,
классификация, обобщение), так и эмпирические (сравнение, измерение и др.)
методы исследования.
При выполнении работы была использована современная учебная
литература, научные труды как отечественных, так и зарубежных авторов,
нормативная документация, статьи из журналов в области сетевых технологий
и информационной безопасности, отчетность предприятия, а также материалы
сети Интернет.
10
I Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения).
1.1.1 Общая характеристика предметной области.
Mail.ru Group — российская технологическая компания. Среди её активов
социальные сети «ВКонтакте» и «Одноклассники», портфолио онлайн-игр, куда
входят такие проекты как Warface, Armored Warfare, Skyforge, Аллоды Онлайн,
ArcheAge, Perfect World и Lost Ark, картографический сервис MAPS.ME,
мессенджер ICQ, мобильный сервис бесплатных объявлений «Юла», каршеринг
YouDrive и платформа для доставки еды Delivery Club.
В мае 2017 года Forbes поставил Mail.ru Group на 97 место в рейтинге ста
инновационных компаний мира[2].
Mail.ru Group была сформирована на основе российских активов Digital
Sky Technologies в 2010 году в рамках подготовки компании к первичному
публичному предложению. Под управлением Mail.ru оказался операционный
бизнес холдинга, а инвестиционные активы перешли к DST Global[3].
Компания называет свою стратегию развития communitainment
(производное от англ. communications + entertainment) и фокусируется на
развитии коммуникационных и развлекательных интернет-сервисов. Все
основные активы Mail.ru Group относятся к четырём основным направлениям
её бизнеса:[4]
Социальные сети: Mail.ru Group принадлежат три российские социальные
сети: «ВКонтакте», «Одноклассники», и «Мой мир».
Почта, портал и instant messaging. В это направление входят Почта Mail.ru
и портал Mail.ru, включающий главную страницу сайта и тематические проекты
Авто Mail.ru, Кино Mail.ru, Дети Mail.ru, Здоровье Mail.ru, Леди Mail.ru,
Новости Mail.ru, Спорт Mail.ru, Hi-Tech Mail.ru, Cars Mail.ru, Недвижимость
11
Mail.ru и Добро Mail.ru[5], а также сервисы мгновенного обмена сообщениями
ICQ и Агент Mail.ru.
Игровое подразделение Mail.ru Games разрабатывает и публикует
клиентские и браузерные массовые многопользовательские онлайн-игры, игры
для социальных сетей и мобильных устройств и игровой портал Игры
Mail.ru[6].
Поиск, e-commerce и другое: это направление представлено Поиском
Mail.ru, информационно-справочной системой Товары Mail.ru,
предоставляющую информацию о товарах и услугах, их стоимости в различных
интернет-магазинах, сервисом MAPS.ME, предоставляющим офлайн-карты и
навигацию для мобильных устройств на основе данных OpenStreetMap,
мобильным сервисом бесплатных объявлений Юла и райдшеринговым
сервисом BeepCar.
Под брендом Mail.ru также работает платформа Mail.ru для бизнеса,
объединяющая все B2B-сервисы компании, система вопросов и ответов Ответы
Mail.ru и другие интернет-проекты.
На международном рынке компания представлена проектом My.com и
опубликованными на нём картографическим сервисом MAPS.ME, почтовым
клиентом myMail, игровым проектом myGames, платформой целевой рекламы
myTarget и рекомендательным сервисом myWidget.
Управление компаний осуществляют Борис Добродеев, финансовый
директор Мэтью Хэммонд, Владимир Никольский в должности операционного
директора и заместитель генерального директора Дмитрий Сергеев.
Общая выручка Mail.ru Group в 2019 году выросла на 22,4 %, до 87,07
млрд рублей, чистая прибыль выросла на 3,8 %, до 15,65 млрд руб., EBITDA
выросла на 9,6 %, до 29,75 млрд руб.[37] Сегмент многопользовательских
онлайн-игр (MMO) в 2019 году обеспечил около трети выручки компании — 28
млрд руб. (+20,1 % к 2018 году)[38]. По оценкам РБК, по размеру выручки
Mail.ru Group занимает 194-е место среди российских компаний[39].
12
1.1.2 Организационно-функциональная структура предприятия.
Директор выполняет общие функции по управлению предприятием,
выделяет основные направления деятельности предприятия, знакомится с
основными тенденциями развития по основному профилю развития.
Бухгалтерия производит учет денежных средств, выдает зарплаты
сотрудникам и учитывает основные средства компании.
Рассмотрим достоинства и недостатки существующей организационной
структуры.
Управление предприятием носит линейный характер, основанный на
единоначалии. К основным недостаткам такого метода управления можно
отнести следующие:
1. Высокие требования к руководителю, который должен иметь багаж
всесторонних знаний, необходимых для управления. Остановимся на этой
проблеме более подробно. Управление предполагает решение как ряда
экономических вопросов, связанных с сокращением затрат
обслуживания, т.е. объем знаний и умений, в котором сложно быть
компетентным одному человеку.
2. Линейная структура лишена необходимых промежуточных звеньев по
планированию и подготовке решений, что приводит к отсутствию
видения ближайшей перспективы развития и негативно отражается на ее
будущей конкурентоспособности.
3. Средние уровни управления перегружены лишней организационной
информацией, что мешает им решать на должном уровне конкретные
необходимые для развития задачи.
4. Излишняя перегруженность средних уровней ослабляет связи между
ними, что влияет на качество принимаемых на этих уровнях
управленческих решений.
5. Так как общее управление организовано по линейному принципу, при
отсутствии одного из ключевых руководителей нарушается работа как
13
одного из звеньев компании, так и всей компании целиком. Это
способствует дополнительным рискам в работе компании и делает ее
менее конкурентоспособной.
Необходимая документация для разработки комплексной системы
защиты составлена согласно обнаруженным потребностям, выявленным в ходе
изучения работы предприятия на практике. Были проведены обследования
рабочих мест специалистов - директора, бухгалтера, других специалистов.
Полученное техническое задание согласовано: концепция построения
конфигурации с директором, техническая часть проектирования с IT
специалистом, финансовая - с главным бухгалтером. Организацию работы
предприятия логически можно разбить на несколько отделов:
• Администрирование;
• Документооборот;
• Бухгалтерия.
В соответствии с иерархией и разделением обязанностей на предприятии
права доступа к подсистемам ограничены. Административный состав в лице
директора имеет доступ ко всем перечисленным частям системы, кроме того
только у него есть доступ к подсистеме «Предприятие».
Главный бухгалтер, а также бухгалтер кассир в виду специфики работы
имеет доступ к подсистеме учета денежных потоков. IT специалист
осуществляющий разработку конфигурации системы имеет доступ для
последующей отладки или модернизации только с разрешения директора.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов.
В первую очередь, необходимо определить, что такое информационный
актив. Информационный актив — это компонент структурной системы, в
который организация вкладывает ресурсы для формирования и организации
защиты конфиденциальности.
14
Информационный актив может состоять из нескольких информационных
компонентов, которые включают различные информационные активы,
включающие базы данных, документы и прикладные программы, а также
необходимые для работы программ аппаратные средства. [9]
Для обеспечения необходимой защиты информационных компонентов в
процессе работы системы требуется оценить их уязвимости и возможные риски
при работе с ними. [12]
Говоря о структурном содержании компании, следует выделить
следующие информационные компоненты:
1. Базы данных подразделений (только в бухгалтерии хранится
информация о действующих и бывших сотрудниках, их персональные
данные, а также архив сведений о всех финансовых операциях как
внутри организации, так и за ее пределами за определенный период).
2. Документы (шаблоны договоров, данные о внутрикорпоративных
правилах взаимодействия, уставы, заключенные договора, должностные
инструкции и т.д.).
3. ПО (в т.ч. данные прикладных программ).
4. Аппаратные средства связи и коммуникаций, то есть сервер баз
данных, телефоны, медные и оптоволоконные кабели, коммутаторы, принтеры,
почтовый сервер.
Основные активы предприятия и их оценка представлены в таблице.
Таблица 1.
Оценка информационных активов предприятия
Вид
деятельно
Наименов
ание
Форма
представ
Владел
ец
Критери
и
Размерность
оценки
15
сти
актива
ления
актива
определ
ения
стоимост
и
Количест
венная
оценка
Качеств
енная
Информационные активы
обработка
документо
в
Документы
Бумажны
й
документ
и
электронн
ый вид
документ
а.
Бухгалт
ер по
зарплат
е,
бухгалт
ер по
основн
ым
средств
ам,
завхоз
Первонач
альная
стоимость
актива
250
тыс.руб.
высокая
обработка
документо
в
БД
компании
Электрон
ный
носитель
Бухгалт
ер по
зарплат
е,
бухгалт
ер по
основн
ым
средств
ам,
завхоз
Первонач
альная
стоимость
актива
500
тыс.руб.
высокая
доступ к
информаци
онным
ресурсам
БД
компании
Электрон
ный
носитель
Директо
р
компан
ии,
замести
тели,
бухгалт
еры,
ИТ-
специал
исты.
Первонач
альная
стоимость
актива
100 тыс.
руб.
средняя
обмен
корреспон
денцией
Файлы
электронно
й почты,
стандарты
форм,
справочник
и, приказы
Электрон
ный
носитель
Все
сотрудн
ики
Первонач
альная
стоимость
актива
120
тыс.руб.
средняя
Активы программного обеспечения
обработка
документо
в
Офисные
программы
;
Электрон
ный
носитель
Сотрудн
ики
Первонач
альная
стоимость
актива
520
тыс.руб.
высокая