8
Содержание
Введение ........................................................................................................................... 10
1. Аналитическая часть ................................................................................................... 12
1.1. Технико-экономическая характеристика предметной области и предприятия . 12
1.1.1. Общая характеристика предметной области ...................................................... 12
1.1.2. Организационно-функциональная структура предприятия .............................. 12
1.2. Анализ рисков информационной безопасности .................................................... 15
1.2.1. Идентификация и оценка информационных активов ........................................ 15
1.2.2. Оценка уязвимостей активов ................................................................................ 19
1.2.3. Оценка угроз активам ........................................................................................... 23
1.2.4. Оценка существующих и планируемых средств защиты .................................. 26
1.2.5. Оценка рисков ........................................................................................................ 30
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты
информации на предприятии ......................................................................................... 31
1.3.1. Выбор комплекса задач обеспечения информационной безопасности ........... 31
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации. ..................................................................................................................... 33
1.4. Выбор защитных мер ............................................................................................... 34
1.4.1. Выбор организационных мер ............................................................................... 34
1.4.2. Выбор инженерно-технических мер .................................................................... 37
2. Проектная часть ........................................................................................................... 51
2.1. Комплекс проектируемых нормативно-правовых и организационно-
административных средств обеспечения информационной безопасности и защиты
информации предприятия ............................................................................................... 51
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия ..................................................................................................................... 51
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия ....................... 54
9
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ....................... 63
2.2.1. Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия ...................................................... 63
2.2.2. Контрольный пример реализации проекта и его описание ............................... 71
3. Обоснование экономической эффективности проекта ............................................ 76
3.1. Выбор и обоснование методики расчёта экономической эффективности ......... 76
3.2. Расчёт показателей экономической эффективности ............................................. 84
Заключение ....................................................................................................................... 88
Список используемых источников ................................................................................ 90
10
Введение
Обеспечение информационной, а, следовательно, и экономической
безопасности государственных и коммерческих объектов в настоящее время
приобретает особую актуальность. Злоумышленники, получив в своё распоряжение
высокотехнологическое оборудование, создают угрозу обширных техногенных
катастроф в масштабах целых государств. Терроризм, преступность, аварии,
катастрофы, стихийные бедствия и другие причины возникновения чрезвычайных
ситуаций (ЧС) в последние годы все более существенно влияют на снижение
уровня безопасности государства и населения.
Говоря о том, какие могут быть угрозы, можно привести длинный список,
например кража, пожар, нападение, экологические угрозы и т.д. Этот список
постоянно дополняется все новыми угрозами. Методы и средства охраны и
экономической безопасности развиваются весьма быстро, как качественно, так и
количественно.
Тем не менее, согласно статистике, основными угрозами информационной
безопасности являются халатность сотрудников, и ущерб, нанесенный при
реализации внутренних угроз информационной безопасности, в несколько десятков
раз превышает ущерб, нанесённый в результате проникновения в систему со
стороны.
В современных условиях сложной криминогенной обстановки в мире и РФ
вопросы обеспечения безопасности населения и промышленных объектов
приобретают особую актуальность. Особую опасность для крупных
промышленных объектов представляют злоумышленные несанкционированные
действия физических лиц (нарушителей): террористов, диверсантов, преступников,
экстремистов. Результаты их действий не предсказуемы: от хищения имущества до
создания чрезвычайной ситуации на объекте (пожар, разрушение, затопление,
авария, и т.п.).
Одной из эффективных мер по обеспечению безопасности важных
промышленных объектов является создание систем охраны от
несанкционированного проникновения физических лиц – систем контроля и
управления доступом (СКУД).
11
Тема данного дипломного проекта – «Внедрение системы управления
контроля доступом в ООО «АйТи Фреш».
Целью работы является выбор и внедрение системы управления контроля
доступом в ООО «АйТи Фреш».
Задачи, которые необходимо решить в процессе написания работы:
исследование организации и ее деятельности;
анализ информационных ресурсов организации;
разработка плана построения системы контроля и управления доступом в
компании;
выбор необходимого оборудования;
разработка рекомендаций по внедрению оборудования.
Объект исследования –компания ООО «АйТи Фреш».
Предмет исследования – системы контроля и управления доступом.
Методы исследования: изучение рассматриваемой организации «как есть»,
анализ законодательной базы в области построения систем контроля и управления
доступом, анализ имеющегося на рынке оборудования, разработка рекомендаций
по внедрению системы.
Практическая значимость проекта – результат проекта позволит
организовать систему контроля и управления доступом для рассматриваемого
объекта, что в значительной степени повысит его безопасность.
12
1. Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия
1.1.1. Общая характеристика предметной области
ООО «АйТи Фреш» находится в г. Щелково Московской области. Компания
занимается внедрением 1С, сопровождением, обучением. Главная цель компании -
сделать работу клиентов в программах 1С максимально комфортной. Хорошо
продуманные решения, грамотно реализованные задачи на основе типовых
программ 1С с учетом индивидуальных требований каждого заказчика – это
ежедневная работа сотрудников компании.
Задача компании «АйТи Фреш» - провести внедрение программ 1С так,
чтобы пользователь в дальнейшем смог без посторонней помощи эффективно
использовать все возможности программы.
В таблице 1 приведены основные показатели деятельности ООО «АйТи
Фреш».
Таблица 1
Основные характеристики (показатели эффективности) видов деятельности
ООО «АйТи Фреш»
№
п\п
Наименование показателя
Значение показателя на
2016 г.
1
Количество клиентов
>1000
2
Показатель удовлетворенности клиентов (по 5-
балльной шкале)
4,8
3
Объём обработанных персональных данных
клиентов
790 Гб
4
Объём обработанных персональных данных
сотрудников
270 Гб
5
Скорость передачи данных в корпоративной
сети компании
100 Мбит/с
1.1.2. Организационно-функциональная структура предприятия
Рассмотрим организационную структуру компании ООО «АйТи Фреш». Она
представлена на рисунке 1.1.
13
Организационная включает в себя следующие подразделения:
отдел по работе с клиентами;
отдел бухгалтерского обслуживания;
юридический отдел;
отдел кадров;
отдел сопровождения;
ИТ-отдел.
Генеральный директор
Отдел
сопровождения
Юридический
отдел
Отдел по работе
с клиентами
ИТ-отдел
Заместитель
Генерального директора
Главный бухгалтер
Бухгалтерия
Отдел кадров
Рис.1 Организационная структура управления ООО «АйТи Фреш»
Опишем функции сотрудников.
Руководство компании представлено генеральным директором,
осуществляющим управление компанией. Функции генерального директора носят
организационно-распорядительный характер, в задачи его входит управлять
текущей деятельностью организации, строить планы дальнейшего развития.
Генеральный директор также ведет особо важные переговоры, ведет
наиболее сложные дела в своей области.
Бухгалтерское обслуживание включает:
прием и обработка первичных документов;
создание платежных поручений на налоги и взносы;
14
учет всех необходимых бухгалтерских операций в программе
1С:Бухгалтерия 8 (без затрат на программу);
подготовка и сдача отчетности в налоговую, фонды и статистику;
решение всех дополнительных вопросов с ФНС и Фондами (ответы на
письма и требования).
Юрист представляет интересы клиентов в уголовных и гражданских
судебных процессах и других юридических слушаниях, составляет юридические
документы и консультирует клиента по юридическим вопросам и сделкам.
Основные функции:
Консультирует клиентов по юридическим вопросам.
Применяет судебные правила и стратегии.
Собирает доказательства и другую информацию для предоставления в суде.
Участвует в судебных слушаниях.
Определяет основания для судебного иска.
Составляет договоры и соглашения в соответствии с законом.
Изучает документы для предотвращения юридических пробелов в них.
Разъясняет и интерпретирует государственные законы и инструкции.
Пишет юридические документы.
Бухгалтерия состоит на сегодняшний момент из трех бухгалтеров. Они
ведут финансово-хозяйственную деятельность компании:
осуществляют сбор и учет первичных документов,
проводят расчеты с клиентами компании;
формируют и сдают бухгалтерскую отчетность;
осуществляют перечисления в государственные органы (Фонд
социального страхования, Пенсионный Фонд и т.д.).
Специалист по кадрам:
рассчитывает заработную плату,
ведет личные карточки сотрудников,
оформляет командировочные, отпускные документы,
выдает необходимые справки сотрудникам и т. д.
15
Функции отдела ИТ: настройка 1С, сопровождение, помощь во внедрении.
Основная задача ИТ-специалиста заключается в поддержке
работоспособности офисного оборудования компании (компьютеров, принтера,
факса, сканера и т. п.).
1.2. Анализ рисков информационной безопасности
1.2.1. Идентификация и оценка информационных активов
Информационный актив является компонентом или частью общей системы,
в которую организация напрямую вкладывает средства, и который, соответственно,
требует защиты со стороны организации.
Защите подлежит вся конфиденциальная информация и информационные
ресурсы, независимо от ее представления и местонахождения в информационной
среде компании:
сведения, составляющие коммерческую тайну, доступ к которым ограничен
собственником информации в соответствии с Федеральным законом "О
коммерческой тайне";
Служебные сведения, доступ к которым ограничен органами
государственной власти в соответствии с Гражданским кодексом РФ;
сведения о частной жизни граждан, позволяющие идентифицировать его
личность (персональные данные), доступ к которым ограничен в
соответствии с Федеральным законом "О персональных данных";
открытая информация, необходимая для обеспечения нормального
функционирования компании.
Оценка описанных выше информационных активов, приведена в таблице 2.
Для качественной шкалы используются термины: "пренебрежимо малая",
"очень малая", "малая", "средняя", "высокая", "очень высокая", "имеющая
критическое значение". Для количественной шкалы используется размерность
тыс. рублей.
16
Таблица 2
Оценка информационных активов предприятия
Вид деятельности
Наименование
актива
Форма
представления
Владелец
актива
Критерии
определения
стоимости
Размерность оценки
Количественная
оценка (ед. изм.)
Качественная
Информационные активы
Сопровождение 1С
Документы
(электронные
сообщения,
сертификаты,
административно-
хозяйственные
договора,
техническая
документация)
Электронная,
материальный
объект
Создатель,
Руководство
Степень важности
50 тыс. руб
Высокая
Бухгалтерское
сопровождение
База данных
бухгалтерии
Электронная
Руководство
Степень важности
180 тыс. руб.
Высокая
Электронная отчетность
Программы для
ведения отчетности
Электронная
Руководство
Стоимость
обновления или
воссоздания
54 тыс. руб.
Высокая
Активы программного обеспечения
Разработка
программного
обеспечения
Разработки и
программные
комплексы
Электронная
Создатель,
Руководство
Нарушение
конфиденциальности
коммерческой
информации;
Снижение
эффективности
бизнеса;
367 тыс. руб.
Имеющая
критическое
значение
Обеспечение
непрерывной работы
Программы
целевого
Электронная
Руководство
Обновление и
воссоздание
70 тыс. руб.
Высокое
17
назначения,
Системное ПО
Обработка документов
Офисные
программы
Электронный
носитель
Сотрудники
Первоначальная
стоимость актива
5 тыс. руб.
малая
Физические активы
Хранение данных
Хранилище данных,
сервер
Материальный
объект
Создатель,
Руководство
Первоначальная
стоимость
115 тыс. руб.
Имеющая
критическое
значение
Оборудование-
продукция
Программно-
аппаратные
комплексы
Материальный
объект
Руководство
Нарушение
конфиденциальности
коммерческой
информации;
Снижение
эффективности
бизнеса;
Первоначальная
стоимость
202 тыс. руб.
Имеющая
критическое
значение
Доступ к
информационным
ресурсам
Аппаратные
средства
(компьютеры,
принтера,)
Материальный
объект
Сотрудники
Первоначальная
стоимость
155 тыс. руб.
Очень высокая
Оборудование для
обеспечения связи
Почтовый сервер,
роутер
Материальный
объект
Руководство
Первоначальная
стоимость
10 тыс. руб.
Средняя