47
несанкционированный доступ к информации (в корыстных целях, по принуждению
третьих лиц, из желания навредить или отомстить):
умышленные действия, приводящие к полному или частичному
изменению функциональности компонентов информационных систем
или выходу из строя технических или программных ресурсов;
действия по дезорганизации функционирования ИС, кража
документации и носителей данных;
несанкционированное копирование документов и информационных
носителей; преднамеренное искажение информации, введение
заведомо ложных данных;
отключение или вывод из строя средств обеспечения
функционирования информационных систем (электропитания,
кондиционирования и вентиляции, линий связи, прочего оборудования,
обеспечивающего корректную работу инфраструктуры и т.п.);
перехват и анализ данных, передаваемых по каналам связи и ЛВС;
кража производственных отходов (распечаток документов, записей,
информационных носителей и т.п.);
неправомерное получение атрибутов доступа в систему (используя
халатность работников, путем подделки, подбора или подлога и т.п.);
несанкционированный доступ к ресурсам информационной системы с
рабочих станций легальных пользователей;
хищение или взлом шифров криптографической защиты данных;
применение аппаратных и программных закладок с целью безопасного
осуществления доступа к информационным ресурсам или реализации
изменении в схемах функционирования компонентов корпоративных
информационных систем;
противозаконное применение аппаратных, программных средств или
информационных ресурсов, нарушающее права третьих лиц;
использование технических средств для несанкционированного
изъятия данных.
48
1.2.4 Оценка существующих и планируемых средств защиты
Разработку и проведение мероприятий по обеспечению информационной
безопасности в ПАО «ТГК-2» обеспечивает отдел информационной безопасности,
входящий в управление корпоративной защиты.
В данный момент отдел информационной безопасности ПАО «ТГК-2»
включает в себя начальника отдела и двух главных специалистов.
Согласно положения об отделе информационной безопасности основной
целью отдела является реализация политики Общества в области защиты
информации.
Основными задачами отдела информационной безопасности являются:
выявление внешних и внутренних угроз информационной безопасности,
разработка регламентирующих документов в области защиты информации,
пресечение и недопущение фактов их нарушения, предотвращение утечек
защищаемой информации;
осуществление информационно-аналитической работы, выявление внешних и
внутренних угроз экономическим интересам организации.
Все вышеизложенные задачи также являются актуальными в отношении
дочерних зависимых Обществ ПАО «ТГК-2».
Отдел информационной безопасности выполняет следующие функции:
организует и координирует деятельность всех структур Общества в области
обеспечения информационной безопасности.
разрабатывает руководящие документы нормативно-методического
характера (руководства, инструкции, положения и т.д.), регламентирующие
деятельность Общества в сфере информационной безопасности,
осуществляет контроль за своевременным и качественным выполнением
предъявляемых требований.
выявляет существующие и определяет возможные каналы утечки
защищаемой информации, принимает организационно-технические и
49
правовые меры к их закрытию (исключению) совместно со структурными
подразделениями Общества.
организует и проводит контрольные мероприятия, проверки, служебные
расследования, инспекции и инвентаризации по вопросам обеспечения
информационной безопасности.
осуществляет анализ результатов контрольных мероприятий или
проведенных проверок, касающихся вопросов обеспечения информационной
безопасности, информирует о результатах руководство управления
корпоративной защиты.
разрабатывает предложения по устранению и предупреждению выявленных в
ходе проверок нарушений в области обеспечения информационной
безопасности.
принимает участие в мероприятиях по санкционированию доступа к
защищаемым информационным ресурсам, осуществляет контроль за
надлежащим использованием структурными подразделениями Общества
выделенных им информационных ресурсов.
использует в работе, обеспечивает работоспособность и осуществляет
техническую поддержку специальных технических средств, оборудования и
информационных систем, направленных на защиту информации, контролю и
предотвращению утечек защищаемой информации.
подготавливает заключения по проектам локальных нормативных актов,
распоряжений, приказов, инструкций и иных нормативных документов,
входящих в компетенцию отдела.
участвует в согласовании технических, тактико-технических заданий на
проектирование работ в части обеспечения информационной безопасности,
осуществляет контроль эффективности защиты технических средств и
систем.
осуществляет информационное обеспечение и выполняет поручения
вышестоящего руководства Общества по вопросам обеспечения
информационной безопасности.
50
оказывает помощь структурным подразделениям Общества по вопросам
обеспечения информационной безопасности.
Все вышеизложенные функции также выполняются в отношении дочерних
зависимых Обществ ПАО «ТГК-2».
В настоящее время в организации используются следующие составляющие
информационной системы:
электронная почта;
автоматизированная отправка сообщений электронной почты;
система электронного документооборота;
внутренний корпоративный портал;
внешний общеинформационный портал;
фермы виртуализации;
инфраструктура виртуальных рабочих столов (VDI, Virtual Desktop
Infrastructure);
системы хранения данных;
средства обеспечения для мобильной работы;
инфраструктурные сервисы.
Благодаря централизованной системе авторизации на рабочих станциях
коллектив обмениваться информацией в режиме реального времени, а также
сотрудники могут эффективно работать на удаленных рабочих местах и
осуществлять совместную работу в различных операционных системах.
С помощью локальной вычислительной сети, которая служит для организации
совместной работы значительно увеличен объем информации, который может
обрабатывать один сотрудник компании.
Используемые технологии позволяют работникам вести использование и обмен
информацией в режиме реального времени для улучшения принятия решений,
уменьшения времени на ответы, лучшей согласованности действий и более
продуктивного использования времени и корпоративных ресурсов.
Структурная схема каналов связи организации представлена на рисунке 1.2.
51
Архангельск
10.11.0.0/16
Центральный офис
Вологда
10.19.0.0/16
Кострома
10.34.0.0/16
Новгород
10.49.0.0/16
ISP
(Резервный канал)
100 Мбит/с
100 Мбит/с
100 Мбит/с
100 Мбит/с
ISP
(Основной канал)
100 Мбит/с
100 Мбит/с
100 Мбит/с
Cisco 3925
100 Мбит/с 100 Мбит/с
ASA 5505
10/100/1000
Cisco 3750
10/100/1000
Cisco 3750
10/100/1000 ВОЛС
собственный
10/100/1000
10/100/1000
Котельная ТВК
Ярославская ТЭЦ-1
Cisco 3750
10/100/1000
Ярославская ТЭЦ-2
10/100/1000 ВОЛС
собственный
10/100/1000
Котельная ЛПК
Cisco 3750
Ярославская ТЭЦ-3
10/100/1000 ВОЛС
собственный
Cisco 3750
Cisco 3750
Рисунок 1.2 Структурная схема каналов связи организации
52
Для построения корпоративной локальной вычислительной сети в здании
центрального офиса ПАО «ТГК-2» используется кластер трех стеков по пять
коммутаторов CISCO Catalyst 2960x и коммутатор CISCO Catalyst 3750. Физически
данное оборудование располагается в помещении серверной, в четырех
коммутационных шкафах высотой 42 юнита. Оптические линии связи,
обеспечивающие коммуникации между ИТ-площадками, расположенными на
объектах производства (ТЭЦ и котельных) в пределах города терминированы
разъемами типа LC и подключены к коммутатору CISCO Catalyst 3750, который
выполняет роль ядра сети.
Основные характеристики коммутаторов уровня доступа.
Серия: Cisco Catalyst 2960-X
Уровень коммутатора: 2+ уровень
Тип Cisco IOS: LAN Base
Порты доступа Ethernet: 48 x GE RJ-45
Порты агрегации Ethernet: Слоты под SFP модули
Универсальные порты Ethernet: 2 x SFP+
Таблица MAC адресов: 16000 MAC адресов
Максимальный VLAN ID: 4096
Стекирование: FlexStack Plus/8
Число активных VLAN: 255 VLAN
Протоколы VLAN: Port-based/802.1Q
Габаритные размеры (ВхШхГ) см: 44.5 х 4.5 х 36.8 см
Память FLASH: 128 Мб
Объем ОЗУ: 512 Мб
Работа в кластере: Да
Потребляемая мощность номинальная/максимальная: 49 Ватт
Тип питания: Внутренний блок 100-240В АС, 50-60 Гц
Высота RM UNIT: 1U
Коммутация Мпакетов/с (MPPS): 130.9 MPPS
Матрица коммутации: 108 Гбит/сек
Тип установки: Стоечное
53
Порты консольные: 2 CON
Порты питания PoE: 48 PoE+
Мощность PoE: 740 Вт
Дополнительно: модуль стекирования для коммутаторов Catalyst C2960X
C2960X-STACK
Основные характеристики коммутаторов уровня ядра сети.
Серия: Cisco Catalyst 3850
Тип коммутатора: Управляемый
Уровень коммутатора: 3 уровень
Тип Cisco IOS: IP Base
Порты доступа Ethernet: 24 x GE RJ-45
Порты агрегации Ethernet: Слот сетевого модуля
Таблица MAC адресов: 32000 MAC адресов
Максимальный VLAN ID: 4000
Стекирование: StackWise-480/9
Число активных VLAN: 4000 VLAN
Протоколы VLAN: Port-based/802.1Q
Габаритные размеры (ВхШхГ) см: 44.5 х 4.45 x 45.0 см
Память FLASH: 2 Гб
Объем ОЗУ: 4 Гб
Работа в кластере: Да
Тип питания: Внутренний блок 100-240В АС, 50-60 Гц
Высота RM UNIT: 1U
Коммутация Мпакетов/с (MPPS): 65,47 MPPS
Матрица коммутации: 480 Гбит/с
Тип установки: Стоечное
Порты консольные: 2 CON
Порты питания PoE: 24 PoE+
Мощность PoE: 435 Вт
54
Дополнительно: сетевой модуль для коммутаторов Catalyst C3850 4 x SFP+
C3850-NM-4-10G
Рабочие станции пользователей и «тонкие клиенты» VDI подключены к IP
телефонам Avaya 9608G, а те в свою очередь подключены к коммутаторам уровня
доступа CISCO Catalyst 2960x. Питание IP телефонов Avaya 9608G осуществляется
по технологии PoE (Power over Ethernet).
Основные характеристики IP телефона Avaya 9608G.
Функции телефона:
конференц связь;
спикерфон (дуплекс);
определение звонка (caller ID);
голосовая почта;
удержание вызова;
переадресация вызова;
контроль громкости звонка и звука;
таймер звонка;
широкополосный сигнал в радио;
поддержка Bluetooth и DECT гарнитур (опционально).
Функциональные клавиши:
8 клавиш с двойной индикацией;
4 программируемых функциональных кнопки;
11 функциональных клавиш;
24 административные клавиши;
4 клавиши управления.
Линии: До 8 линий
IP телефония Avaya 9608G:
Коммутация: встроенный двухпортовый Ethernet коммутатор для соединения
с LAN и ПК.
Голосовые кодеки: G.711, G.726, G.729A/B, G.722.
VoIP протоколы: H.323, SIP.
Совместимое ПО: Avaya Communication Manager 3.1.4+ или выше.
55
Дополнительно: HTTP файловый сервер.
Память телефона Avaya 9608G:
Адресная книга: 250 номеров и имен.
Журнал: 100 номеров.
Тип дисплея: Монохромный подсвечивающийся LCD дисплей 8,2 на 5,5 см
Другие характеристики:
Расширяемость: Поддерживает до трех клавишных модулей расширения (на
12 или 24 клавиши).
Индикация: Ожидающее голосовое сообщение, активность спикерфона,
восемь двухцветных светодиодных индикаторов.
Тип монтажа: Настольный, настенный.
Питание: 802.3af PoE или индивидуальный блок питания.
Для централизованного управления учетными записями пользователей
используется программное обеспечение Microsoft Active Directory Services. Службы,
обеспечивающие корректную работу инфраструктуры такие как:
DNS (Domain Name System, служба доменных имен);
DHCP (Dynamic Host Configuration protocol - протокол динамической
настройки узла);
DFS (Distributed File System - распределенная файловая система);
WSUS (Windows Server Update Services - сервер обновлений операционных
систем и продуктов Microsoft);
KMS (Key Management System - служба управления ключами),
интегрированы с Microsoft Active Directory
В качестве аппаратных платформ виртуализации используются серверы HPE
ProLiant 560DL Gen10 и системы хранения данных HPE StoreServ 7400.
Программное обеспечение для платформ виртуализации – VMWare vSphere. Для
резервного копирования данных с файловых ресурсов, дампов баз данных и
виртуальных машин, обеспечивающих корректную работу инфраструктуры
используется ленточная библиотека HP MLS4048. Резервное копирование
56
производится ежедневно согласно Регламенту резервного копирования. Глубина
хранения архива варьируется в зависимости от типа резервируемых данных и может
составлять до одного года.
Основные характеристики серверов:
Базовая платформа: Proliant DL560 Gen10
Процессоры: 4 x Intel® Xeon® Platinum 8160 Processor
Оперативная память: 384Gb ECC Buffered RAM
Сетевая подсистема: 2 x 10GbE, 4 x 1GbE
Дисковая подсистема: 24 x 480Gb SSD SFF, SN1100Q HBA SFP+
Основной и резервный каналы доступа в Интернет организованы по
выделенной оптоволоконной линии связи с использованием технологии FTTX (fiber
to the x - оптическое волокно до точки X) со скоростью до 100 Мбит/сек. В качестве
межсетевого экрана используется CISCO ASA 5510.
Основные характеристики межсетевого экрана:
Количество / тип интерфейсов: 3 Fast Ethernet, 2 Gigabit Ethernet; 1 RJ-45
Console
Пропускная способность межсетевого экрана: 300 Mbps
Макс. Кол-во одновременных сессий: 130000
Пропускная способность 3DES/AES: 170 Mbps
Макс. количество соединений в секунду: 9,000
Макс. количество пакетов 64-байт в секунду: 190,000
Пропускная способность IPS: 150 Mbps
Макс. количество соединений IPSEC: 250
Anyconnect клиентов, макс.: 250
Количество VLAN: 100
Поддержка failover: Active/Active и Active/Standby
Наличие слотов расширения: да, для AIP SSM-10, AIP-SSM-20, 4-port
10/100/1000 or 4-port GE (SFP)
Поддержка доп. блока питания: нет
Порты USB: да, 2шт