66
памятью (не актуально для нашей задачи). В целях экономической
оптимизации останавливаем свой выбор на DS-K2802.
Плюсы и минусы решения контроля доступа HikVision:
Широкий выбор считывателей и сопутствующего оборудования
Всем известный мировой бренд
Необходимость использовать софт сторонних производителей, который
также как и Hikvision, заточен в первую очередь, под видеонаблюдение
Политика лицензирования ПО подразумевает оплату за каждый контроллер.
Разные цвета контроллера и блока питания. Либо дополнительная трата
средств на приобретение контроллеров с увеличенной памятью
выпускаемых в одном цвете с блоком питания.
Габариты бокса контроллера и бокса блока питания
4. Gate
Очередной отечественный производитель – компания «Равелин» и ее
бренд Gate, который существует на рынке систем безопасности с 2001 года.
Оборудование Gate задумывалось, как простая и удобная система для
отечественных специалистов инсталляторов, и при этом недорогая и понятная в
эксплуатации для пользователей.
На текущий момент компания имеет группы продукции: «Классический
Gate» и «Gate-IP». Мы остановимся на классической версии с Ethernet-
интерфейсом. Основа нашего решения состоит из «классического» контроллера
Gate-8000-Ethenet-UPS1. Контроллер позволяет подключить 2 считывателя и
имеет память 8192 события.
Плюсы и минусы выбора данной системы:
Низкая цена
Простота программного обеспечения
Одна единственная модель считывателя форматов EmMarine/HID
«Слабый» блок питания
5. PERCO
67
Следующий в нашем обзоре еще один крупнейший производитель
оборудования СКУД – компания PERCo. Стоит отметить, что данная компания
одна из старейших на Российском рынке систем безопасности.
В арсенале данного производителя имеется универсальный контроллер,
удовлетворяющий всем нашим требованиям, на основе которого мы и будем
строить систему. Этот контроллер носит название PERCo-CT/L04 и позволяет
подключать четыре считывателя для управления 2 дверьми.
Плюсы и минусы решения задачи на оборудовании этого производителя:
Большая и настраиваемая память контроллера
Большой ассортимент исполнительных устройств
Модульная политика лицензирования софта
Отсутствие в линейке собственного резервного блока питания
Для оценки СКУД сведем все решения в отдельную таблицу.
Наличи
е ПО
Ассортимен
т
Универсальност
ь
Резервны
й блок
питания
Стоимост
ь
ELSYS
+
+
+
-
-
BOLID
-
-
+
+
-
NikVisio
n
+
+
+
-
-
Gate
+
+
+
-
+
PERCO
+
+
+
-
-
Анализ показывает, что наиболее подходящим решением СКУД является
решение от отечественного производителя Gate как лучшее по соотношению
«цена/качество».
Выводы по разделу.
В первом разделе детально рассмотрена организационная структура
предприятия, рассмотрены основные аппаратные и программные средства,
используемые сотрудниками предприятия. В разделе дана детальная оценка
основным рискам и угрозам информационной системе предприятия,
рассмотрены существующая система СКУД, представляющую собой систему
68
видеонаблюдения на основе беспроводных камер. Выявлены основные
недостатки такой системы защиты.
Рассмотрены существующие системы СКУД в качестве основы
реализации модернизированного решения, определен вендор, отвечающий
показателям «цена/качество» для данной организации.
69
II Проектная часть
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия.
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и
защиты информации предприятия.
Рассмотрим комплекс организационных мер, включающих нормативно-
правовую информацию по обеспечению безопасности предприятия.
1.Постановление Правительства РФ 1119 от 1 ноября 2012 «Об
утверждении требований к защите персональных данных при их обработке в
информационных системах персональных данных» [4]
Документ определяет:
Документом устанавливаются требования к защите персональных данных
при их обработке в информационных системах персональных данных (далее -
информационные системы) и уровни защищенности таких данных.
Вывод:
Система защиты персональных данных включает в себя организационные
и (или) технические меры, определенные с учетом актуальных угроз
безопасности персональных данных и информационных технологий,
используемых в информационных системах.
2.Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных
данных" [5]
Документ определяет:
Отношения, связанные с обработкой персональных данных;
Степень доступа к персональным данным;
Защиту персональных данных;
Систематизацию и использование персональных данных.
Вывод:
70
В организации назначается лицо, ответственное за ввод
персональных данных;
Правила по вводу персональных данных, устанавливаются
специальным юридическим лицом или исполнительным органом;
Оператор предоставляет ответственному лицу или органу
исчерпывающую информацию о своей квалификации;
Лицо, ответственное за организацию обработки персональных
данных, в частности, обязано:
1) осуществлять внутренний контроль за соблюдением оператором и его
работниками законодательства Российской Федерации о персональных данных,
в том числе требований к защите персональных данных;
2) доводить до сведения работников оператора положения
законодательства Российской Федерации о персональных данных, локальных
актов по вопросам обработки персональных данных, требований к защите
персональных данных;
3) организовывать прием и обработку обращений и запросов субъектов
персональных данных или их представителей и (или) осуществлять контроль за
приемом и обработкой таких обращений и запросов.
3. Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении
Состава и содержания организационных и технических мер по обеспечению
безопасности персональных данных при их обработке в информационных
системах персональных данных». [6]
Документ определяет:
Безопасность персональных данных;
Организационные и технические меры по обеспечению
безопасности персональных данных;
Требования к защите персональных данных;
Информационное обеспечение персональных данных.
Вывод:
71
Документ регламентирует:
идентификация и аутентификация субъектов доступа и объектов
доступа;
управление доступом субъектов доступа к объектам доступа;
ограничение программной среды;
защита машинных носителей информации, на которых хранятся и
(или) обрабатываются персональные данные (далее - машинные носители
персональных данных);
регистрация событий безопасности;
антивирусная защита;
обнаружение (предотвращение) вторжений;
контроль (анализ) защищенности персональных данных;
обеспечение целостности информационной системы и
персональных данных;
обеспечение доступности персональных данных;
защита среды виртуализации;
защита технических средств;
защита информационной системы, ее средств, систем связи и
передачи данных;
выявление инцидентов (одного события или группы событий),
которые могут привести к сбоям или нарушению функционирования
информационной системы и (или) к возникновению угроз безопасности
персональных данных (далее - инциденты), и реагирование на них;
управление конфигурацией информационной системы и системы
защиты персональных данных. [3]
4.Федеральный закон от 27.07.2006 N 149-ФЗ (ред. от 25.11.2017) "Об
информации, информационных технологиях и о защите информации" (с изм. и
доп., вступ. в силу с 01.01.2018) [12]
Документ определяет:
72
осуществлении права на поиск, получение, передачу, производство и
распространение информации;
применении информационных технологий;
обеспечении защиты информации.
Выводы:
Закон регламентирует все организационно-правовые отношения в сфере
информатизации и защиты информации.
5.ГОСТР ИСО 22301-2014 Системы менеджмента непрерывности бизнеса
[10]
Документ определяет:
требования к планированию;
условия организации;
анализ лидерства;
планирование и поддержка деятельности бизнеса;
оценка выполнения организации устойчивости бизнеса;
постоянное улучшение.
Выводы:
Настоящий стандарт использует модель PDCA для планирования,
установления, внедрения, функционирования, мониторинга, поддержки и
непрерывного совершенствования результативности СМНБ организации.
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия.
Для создания СЗИ АС должны применяться только сертифицированные
СЗИ. Все средства должны иметь сертификаты ФСТЭК и ФСБ (СКЗИ).
Подсистема ЗИ от НСД
Для защиты обрабатываемых в организации конфиденциальных данных,
установлено СЗИ от НСД «Аура 1.2.4».
73
Подсистема антивирусной защиты
В организации осуществляется использование сертифицированного и
удовлетворяющего всем требованиям антивирусное ПО «Dr. Web Desktop
Security Suite».
Так как организация работает с персональными данными сотрудников,
руководством организации разработан пакет документов по защите
персональных данных сотрудников и клиентов организации в рамках
организации системы защиты предприятия.
К этим документам относятся:
Положение по обработке персональных данных организации;
Концепция ИБ;
Перечень сведений, составляющих ПДн.
Примеры документов представлены в Приложении.
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия.
2.2.1 Структура программно-аппаратного комплекса
информационной безопасности и защиты информации предприятия.
Концепция новой системы защиты базируется на том, что доступ к вновь
спроектированной системе видеонаблюдения будет защищен с помощью
дополнительных аппаратных и программных средств.
Для проектирования сети видеокамер будем использовать программу
Video Cad Lite 8.2.
В силу п. 1 и 7 ст. 2 Федерального закона от 06.03.2006 № 35-ФЗ «О
противодействии терроризму» одним из основных принципов противодействия
терроризму является обеспечение и защита основных прав и свобод человека и
гражданина, приоритет мер его предупреждения.
Согласно п. 13 ст. 30 Федерального закона от 30.12.2009 № 384-ФЗ
«Технический регламент о безопасности зданий и сооружений» для
74
обеспечения защиты от несанкционированного вторжения в здания и
сооружения необходимо соблюдение следующих требований:
в зданиях с большим количеством посетителей, а также в зданиях
образовательных, медицинских, банковских учреждений, на объектах
транспортной инфраструктуры должны быть предусмотрены меры,
направленные на уменьшение возможности криминальных проявлений и их
последствий;
в закрепленных законодательством РФ случаях в зданиях и
сооружениях должны быть устроены системы телевизионного наблюдения,
системы сигнализации и другие системы, направленные на обеспечение защиты
от угроз террористического характера и несанкционированного вторжения.
Что касается технических вопросов установки системы видео
мониторинга, то сама система подбирается с учетом особенностей того или
иного образовательного учреждения.
2.2.2. Контрольный пример реализации проекта и его описание.
Как правило, камеры наблюдения устанавливается у центрального входа,
чтобы идентифицировать всех посетителей компании, будь то сотрудник или
посторонний.
Еще одна камера следит за раздевалками, так как большинство краж
личного имущества происходит именно здесь. Обязательно необходимо
установить камеру для обзора коридора у бухгалтерии или кассы.
Также камеры устанавливаются для наблюдения за такими местами, как
пожарные выходы, лестничные клетки, коридоры, залы, технические и
хозяйственные помещения, склады и архивы, а также учебные помещения
повышенной опасности, такие как лаборатории или испытательные полигоны.
Также необходимо установить камеры в скрытных местах, где чаще всего
происходят ЧП такие как драки, распитие алкоголя, курение, прием
наркотиков.
75
Камеры наблюдения должны следить и за периметром здания компании
дабы избежать проникновение в него посторонних лиц и злоумышленников с
улицы. Должна быть под контролем и прилегающая территория, так как многие
инциденты происходят на улице.
Камеры, установленные в кабинетах, помогают отслеживать весь рабочий
процесс. Запись с камер может стать доказательством профессионализма
сотрудника, а также поможет разобраться в различных ситуациях и конфликтах
и выявить виновника.
Записи с камер наблюдения поступают на видеорегистратор и мониторы
слежения, которые, как правило размещаются в помещении службы охраны или
специально отведенном месте. Доступ к нему имеет ограниченный контингент
лиц.
Необходимо вести архив записей, который в случае преступных
проявлений или других чрезвычайных ситуаций послужит расследованию и
станет доказательством в суде.
Руководствуясь основными принципами расположения видео камер и
используя возможности программы проектирования разместим камеры на
первом этаже, как показано на рисунке.
Рисунок 6 - Вид первого этажа
Добавим две не достающие камеры для дополнительного обзора с
главного входа и кабинеты в холле.