44
Вид
деятельности
Наименование
актива
Форма
представления
Владелец
актива
Критерии
определения
стоимости
Размерность оценки
Количественная
Качественная
Предоставление
услуг компании
Документооборот,
оперативные
данные
1С. Склад
Руководитель
ИТ-отдела
Возмещение
морального
ущерба, потеря
выручки
50 000
Средняя
Активы программного обеспечения
Кадровый учет
1С. ЗУП
Файлы на
жестких дисках
Главный
бухгалтер
Стоимость
лицензии ПО,
затраты на
восстановление
работы ПО
80 000
Малая
Бухгалтерский
учет
1С. Бухгалтерия
140 000
Малая
Контур-экстерн
30 000
Малая
Предоставление
услуг
1С. Склад
Руководитель
ИТ-отдела
25 000
Средняя
Обеспечение
рабочего
процесса
сотрудников
Windows 10
Файлы на
жестких дисках
Руководитель
ИТ-отдела
Стоимость
лицензии ПО,
затраты на
восстановление
работы ПО
50 000
Малая
Ubuntu Linux
10 000
Малая
Kaspersky
5000
Пренебрежимо
малая
Физические активы
Обеспечение
рабочего
процесса
ПК сотрудников
организации
Аппаратное
обеспечение
Руководитель
ИТ-отдела
Стоимость
оборудования
200 000
Высокая
Серверное
оборудование
500 000
Высокая
Сетевое
оборудование
50 000
Малая
Согласно проведенным действиям, составим перечень информационных
активов, которые подлежат обязательному ограничению доступа, который
регламентируется действующим законодательством РФ. Перечень
информационных активов представлен в таблице 3.
Таблица 3
Перечень сведений конфиденциального характера АО «РНТ»
№
п/п
Наименование сведений
Гриф
конфиденциальности
Нормативный
документ,
реквизиты, №
статей
1
Персональные данные
сотрудников компании
Конфиденциально
Федеральный
закон «О
персональных
данных» от
27.07.2006 N
152-ФЗ
2
Оперативные данные о
деятельности компании
Конфиденциально
3
Сведения о доходах
сотрудников компании
Конфиденциально
4
Сведения о финансовой
деятельности организации
Коммерческая тайна
Федеральный
закон «О
коммерческой
тайне» от
29.07.2004 N 98-
ФЗ
К сведениям конфиденциального характера, которые подлежат ограничению
доступа согласно Законодательству РФ, относятся персональные данные
сотрудников организации, сведения о доходах сотрудников и сведения о
финансовой деятельности организации.
Проранжируем выделенные информационные активы организации. В
результате получена интегрированная оценка степени важности активов для
компании, которая измерена по пятибалльной шкале. Результаты ранжирования
активов представлены в таблице 4.
Таблица 4
Результаты ранжирования активов
Наименование актива
Ценность
актива (ранг)
Личные данные сотрудников, хранящиеся на бумажных
носителях и в базе данных информационных систем
2
Трудовые книжки
1
Финансовые документы организации на бумажных
носителях и в базе данных информационных систем
3
Бухгалтерская отчетность на бумажных носителях и в
виде файлов информационных систем
2
Ключ ЭЦП
1
Информационные системы
4
46
Наименование актива
Ценность
актива (ранг)
Системное ПО
2
Антивирусное ПО
1
ПК сотрудников организации
4
Серверное оборудование организации
4
Сетевое оборудование организации
1
На основании данных, приведенных в таблице, выделим активы, которые
имеют особую ценность для организации и в последующем будут рассматриваться
в качестве объектов защиты. К таким активам относятся:
1. Серверное оборудование организации.
2. ПК сотрудников организации.
3. Финансовые документы организации на бумажных носителях и в базе
данных информационных систем.
4. Информационные ресурсы организации.
2.3. Анализ рынка и выбор СКУД для внедрения в деятельность
организации
После того как было осуществлено моделирование бизнес-процесса «как
есть», необходимо, учитывая выделенные недостатки, построить модель бизнес-
процесса «как должно быть». Для этого также будет использован метод
структурного анализа. На рисунке 6 представлена контекстная диаграмма процесса
контроля и управления доступом.
Управление бизнес-процессом осуществляется согласно регламентам,
уставу и должностным инструкциям. Механизмами процесса являются управление
безопасности и СКУД. Входными потоками процесса являются:
1. Список сотрудников предприятия, который используется для
выявления лиц, котором разрешен доступ к объекту.
2. Список объектов организации, к которым необходимо ограничить
доступ.
3. Идентификатор посетителя – предмет, с помощью которого
осуществляется проверка возможности доступа к объекту.
Рисунок 6. Контекстная диаграмма процесса «как должно быть»
Выходными потоками процесса являются:
1. Журнал посещений – документ, в котором перечислен список лиц,
которые проходили на объект, их данные, время посещения и цель визита.
2. Отказ в доступе к объекту – событие, в результате которого доступ
сотрудника на объект не осуществляется.
На рисунке 7 представлена декомпозиция бизнес-процесса контроля и
управления доступом к объектам организации. Из отдела кадров в управление
безопасности поступает список сотрудников организации. Специалисты
управления безопасности вводят эти данные в СКУД и формируют в ней режим
доступа.
Затем осуществляется контроль и осуществление пропускного режима.
Сотруднику выдается идентификатор, который он подносит к считывателю
пропускного устройства. Устройство запрашивает разрешение доступа к объекту
по идентификатору субъекта.
Система отправляет сигнал о возможности или невозможности
осуществления доступа. В зависимости от ответа СКУД, устройство пропускает
субъект на объект или не пропускает.
В СКУД формируется журнал, в котором перечислены все запросы на
доступ к каждому объекту организации и зафиксированы ответы системы т.е. был
осуществлен доступ к объекту или нет.
Ранее мы пришли к выводу о необходимости оптимизации процесса
контроля и управления доступом с помощью внедрения СКУД. Для этого нужно
рассмотреть СКУД, представленные на рынке и выбрать из них наиболее
подходящую поставленной задаче.
После того как было обосновано решение о внедрении средств
вычислительной техники для автоматизации контроля и управления доступом,
необходимо принять решение о способе приобретения программного обеспечения.
Способы приобретения программного обеспечения делятся на 2 категории:
1. Приобретение готового программного обеспечения.
2. Разработка программного обеспечения.
Рассмотрим первый вариант приобретения программного обеспечения. Для
этого нужно провести анализ СКУД, представленных на рынке.
49
Рисунок 7. Декомпозиция бизнес-процесса
СКУД «ParsecNET 3» разработана компанией НПО «Релвест» [24]. Эта
СКУД применяется для обеспечения контроля доступа на различных точках
прохода. В функционале СКУД предусмотрена возможность интеграции с другими
системами безопасности: видеонаблюдением, пожарной и тревожной
сигнализацией.
К преимуществам СКУД «ParsecNET 3» относятся:
1. Возможность установки как на небольшие объекты, так и на крупные
предприятия, имеющие несколько филиалов в регионах.
2. Простой, интуитивно понятный интерфейс. Временные затраты на
обучение персонала минимальны.
3. Контроллеры с энергонезависимой памятью имеют возможность
установки в корпус блока питания, что обеспечивает их бесперебойную работу
даже после отключения электричества.
4. Широкий функционал позволяет настраивать множество параметров
доступа.
СКУД «ParsecNET 3» имеет более 20 тысяч внедрений как в России, так и
за рубежом. Положительные отзывы о программных продуктах разработчика
свидетельствуют о высоком качестве и надежности оборудования.
СКУД «РусГард» разработана компанией, которая занимается
производством и реализацией СКУД и охранной сигнализации [25]. СКУД
основана на применении контроллера ACS-102-CE. СКУД имеет модульную
структуру, каждый из модулей предназначен для решения различных типовых
задач:
1. Решение для гостиниц. Каждый сотрудник имеет доступ только в
помещения, в которых непосредственно работает.
2. Система для 2 дверей. Экономный вариант СКУД, устанавливается
контроль только над двойными дверями.
3. Для офиса. Контролирует рабочее время, обеспечивает вход по
пропускам, следит за пожарной безопасностью.
4. Сборка для распределенных по всему региону объектов. Обеспечивает
единый центр управления множеством зданий и помещений, находящихся на
расстоянии друг от друга.
52
5. Терминал для регистрации посетителей.
СКУД «РусГард» имеют возможность интеграции с другими системами
безопасности: видеонаблюдение, охранно-пожарная сигнализация, модули учета
рабочего времени.
СКУД «Сфинкс» обладает простотой и удобством в управлении [26].
Основным отличием этой СКУД является практически полная автоматизация всех
узлов. СКУД самостоятельно принимает решение о пропуске посетителя на
основании предъявленных документов, считывает и запоминает паспорт и другие
удостоверения, отправляет сигнал тревоги в случае несанкционированного
проникновения, формирует подробнейшие отчеты с точностью событий до
секунды. Энергонезависимые блоки позволяют функционировать СКУД даже при
отсутствии питания от электрической сети. В случае обрыва связи с центральным
сервером, рабочие модули продолжают функционировать в автономном режиме,
любое событие сохраняется в памяти и после восстановления соединения
отправляется в базу данных.
В СКУД внедрены следующие возможности:
контроль рабочего времени персонала;
бейдж-редактор;
контроль доступа по временным пропускам;
любой способ идентификации: магнитные карточки, ключи, бумажные
носители;
интеграция с 1С: предприятие;
полное взаимодействие с системой видеонаблюдения.
Для оценки выбранных СКУД был разработан ряд критериев, по которым
будет проводиться оценка соответствия требованиям. Критериями выбора СКУД
являются:
Простота и удобство.
Безопасность.
Удобство навигации.
Юзабилити.
Функциональность.
53
Выбранные системы будут оценены по выделенным критериям по
пятибалльной шкале, в которой «1» означает полное несоответствие критерию, а
«5» - полное соответствие. Оценка платформ приведена в таблице 5.
Таблица 5
Анализ систем, представленных на рынке
Критерий
ParsecNET 3
РусГард
Сфинкс
Простота управления
4
4
4
Безопасность
3
3
5
Удобство навигации
3
4
5
Юзабилити
4
3
4
Функциональность
1
3
5
Итого
15
17
23
Согласно проведенному анализу, наибольшее соответствие выделенным
критериям показала система «Сфинкс». Она полностью соответствует критериям
функциональности, безопасности и удобству навигации. Также она достаточно
проста в управлении и имеет качественный интерфейс. Поэтому для автоматизации
контроля и управления доступом будет внедрена система «Сфинкс».