48
Рис.5. Коммуникационный сетевой контроллер Elsys-MB-Net
Коммуникационный сетевой контроллер (КСК) Elsys-MB-Net
предназначен для подключения линии связи RS-485, в которой может
находиться до 63 контроллеров доступа, к сети Ethernet, связь контроллеров с
сервером выполняется по сети. Elsys-MB-Net применяется в тех случаях, когда в
месте установки группы контроллеров имеется локальная сеть, а прокладка
линии RS-485 от контроллеров до сервера нецелесообразна или невозможна.
КСК поддерживает межконтроллерный обмен информацией в масштабах
всей сети СКУД, что, в частности, обеспечивает реализацию функции запрета
повторного прохода и контроля порядка прохождения зон доступа вне
зависимости от состояния сервера оборудования
Всего в составе СКУД может быть до 240 КСК Elsys-MB-Net и до 15120
контроллеров доступа.
Модуль Ethernet интерфейса
Модуль Ethernet интерфейса Elsys-IP предназначен для установки в
корпус контроллеров доступа Elsys-MB и позволяет подключить контроллер к
49
локальной сети напрямую. В контроллеры Elsys-MB-SM модуль установить
нельзя. Всего в системе может быть 15120 контроллеров доступа с модулями
Elsys-IP.
Модули расширения
Модули расширения памяти Elsys-XB
Модуль расширения памяти Elsys-XB устанавливается на плату
контроллеров старшей линейки и предназначен для хранения информации о
картах доступа, уровнях доступа, временных интервалах и событиях. Модуль
выпускается в нескольких модификациях с различным объемом памяти.
Минимальный объем одновременно хранимых данных составляет 2300 карт и
1800 событий, максимальный – 81000 карт и 61000 событий. Память между
данными карт и событий может перераспределяться при настройке контроллера
доступа.
Без модуля расширения памяти контроллер доступа позволяет хранить не
более 400 карт и 250 событий. При этом недоступен ряд функций контроллера.
Модуль дополнительных слаботочных выходов
Модуль дополнительных слаботочных выходов Elsys-IO/MB позволяет
организовать дополнительные выходы типа «открытый коллектор» для
управления внешним оборудованием в случае, если штатных выходов
контроллера доступа недостаточно. Модуль подключается к линии RS-485,
имеет аппаратную интеграцию с контроллерами Elsys-MB и работает по
запрограммированной пользователем логике без участия компьютера.
Программные средства СКУД Elsys
Драйвер «Бастион-Elsys» - основное программное обеспечение СКУД для
конфигурирования, управления и мониторинга.
Модуль учета рабочего времени «Бастион УРВ» позволяет формировать
простые отчеты, а также табель Т-13 (без возможности редактирования).
«Бастион УРВ» работает только с простыми рабочими графиками (пятидневная
неделя, работа в одну смену).
Модуль учета рабочего времени «Бастион - УРВ-Про» разработан в
соответствии с требованиями Трудового Кодекса РФ и позволяет полностью
отразить положения трудового и коллективного договора, предоставляя
50
возможность детального определения рабочего графика сотрудника и
редактирования сформированного табеля рабочего времени.
Модуль «Бастион - Печать пропусков» необходим для разработки и
подготовки графических шаблонов пропусков с последующей печатью на картах
или наклейках.
Модуль «Бастион-Паспорт 2.0» позволяет автоматизировать процесс
ввода персональных данных, необходимых для оформления пропуска.
Модуль «Бастион - Web-Заявки» позволяет уполномоченным сотрудникам
оформлять заявки на пропуска со своего компьютера. Модуль работает через
Web-браузер и не требует установки АПК «Бастион» на компьютер.
Модуль «Бастион - Персональные данные» сохраняет все операции с
личными данными сотрудников предприятия в отдельном протоколе. При
создании новой заявки на пропуск модуль обеспечивает печать формы
информированного согласия на обработку персональных данных.
Программное обеспечение ElsysPass – решение для построения
бюджетного варианта системы контроля и управления доступом (до 10 точек
прохода) на базе контроллеров СКУД Elsys, позволяющее организовать до 5
рабочих мест СКД.
51
2. Проектная часть
2.1. Комплекс проектируемых нормативно-правовых и
организационно-административных средств обеспечения информационной
безопасности и защиты информации предприятия
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия
Нормативно-правовую базу составляют следующие основные группы
документов, которые должны учитываться при обеспечении информационной
безопасности:
1) Международное правовое обеспечение, которое составляют
международные нормативные акты (Конвенции, Соглашения,
Декларации) к которым присоединилась (подписала, ратифицировала)
Российская Федерация, а также заключенные от лица Российской
Федерации международные Договоры (Пакты).
2) Международное нормативно-техническое обеспечение, которое
составляют международные Стандарты, Рекомендации, Регламенты в
информационной сфере и сфере информационной безопасности.
3) Национальное правовое обеспечение, которое составляют нормативные
акты Российской Федерации (Конституция РФ, Федеральные законы,
Указы Президента РФ), подзаконные акты (Постановления и
Распоряжения Правительства РФ, нормативные акты уполномоченных
федеральных органов государственной власти), а также нормативные и
подзаконные акты субъектов Российской Федерации.
4) Национальное нормативно-техническое обеспечение, которое
составляют действующие в Российской Федерации технические
регламенты, стандарты (государственные, отраслевые), руководящие
документы, а также подзаконные акты уполномоченных федеральных
органов государственной власти в основном нормативно-технического
характера.
52
Документы I группы (международное правовое обеспечение) имеют
преимущественное право при обеспечении информационной безопасности в
сетях связи третьего поколения, если иного не предусмотрено
законодательством Российской Федерации. В эту группу входят:
Всеобщая декларация прав человека, утвержденная и провозглашенная
Генеральной Ассамблеей ООН (1948 г.);
Европейская Конвенция о защите прав человека и основных свобод (1996
г.);
Пакт о гражданских и политических правах (1976 г.);
Европейская Конвенция от 28.01.1981 г. об охране личности в
отношении автоматизированной обработки персональных данных;
Директива Европейского Парламента и Совета Европейского Союза
95/46/ЕС об обработке персональных данных;
Директива Европейского Парламента и Совета Европейского Союза
97/66/ЕС об обработке персональных данных;
и ряд других международных договоренностей, признаваемых Российской
Федерацией.
В этих документах затрагивается ряд важных и характерных, также, для
российского национального законодательства вопросов, таких, как:
общие цели безопасности;
требования к системе безопасности;
требования, связанные с управлением доступом;
требования управления безопасностью.
идентификация ситуации и вовлеченных сторон;
оценка угроз и рисков, связанных с каждой угрозой,
определение механизмов обнаружения и противодействия
потенциальным угрозам и восстановления нормального
функционирования информационной системы;
механизмы аутентификации: с симметричными ключом, с
асимметричным ключом, с "нулевым знанием";
53
механизмы анонимности: временные идентификаторы с симметричным
ключом; секретность подлинности с использованием асимметричного
ключа; анонимный доступ;
механизмы конфиденциальности: блочное шифрование, потоковое
шифрование;
некриптографические механизмы безопасности: верификация
пользователя, регистрация пользователя, подсчет вызовов;
механизмы обеспечения целостности: шифрование с добавлением
избыточности, симметричный ключ, асимметричный ключ;
механизмы неотказуемости: цифровая подпись;
механизмы управления безопасностью: распределение ключей,
управление версиями;
и многие другие.
Национальное правовое обеспечение составляют конституционные и
федеральные законы Российской Федерации, указы Президента Российской
Федерации, Постановления и Распоряжения Правительства РФ, распоряжения и
приказы федеральных министерств (Мининформсвязи России, Минпромэнерго
России), служб (ФСТЭК России, ФСБ России, Россвязьнадзор) и агентств
(Росинформтехнологии, Россвязь) по вопросам обеспечения безопасности
информации, региональные нормативные акты субъектов Российской федерации
в области формирования, использования и защиты информационных ресурсов.
Документы этой группы носят обязательный характер для всех участников
правоотношений на территории Российской Федерации, независимо от их
национальной принадлежности и имеют наивысший приоритет при определении
требований по обеспечению безопасности в них. Исключение составляют
нормативные акты субъектов РФ, которые носят локальный характер и
действуют в пределах границ субъекта Российской Федерации. Это наиболее
многочисленная группа документов, в которую входят:
1) Конституция Российской Федерации.
2) Гражданский Кодекс Российской Федерации
3) Уголовный Кодекс Российской Федерации
4) Закон РФ «О государственной тайне», № 5485-1, 1993 г.
54
5) Федеральный закон «Об информации, информатизации и защите
информации», № 24-ФЗ, 1995 г.
6) Федеральный закон «Об участии в международном информационном
обмене», № 85-ФЗ, 1995 г.
7) Федеральный закон «О коммерческой тайне», № 98-ФЗ, 2004 г.
8) Указ Президента РФ «Об основах государственной политики в сфере
информатизации», № 170, 1994 г.
9) Указ Президента РФ «О мерах по соблюдению законности в области
разработки, производства, реализации и эксплуатации шифровальных
средств, а также предоставления услуг в области шифрования
информации», № 334, 1995 г.
10) Указ Президента РФ «Об утверждении перечня сведений
конфиденциального характера», № 188, 1997 г.
11) Указ Президента РФ «Об утверждении концепции национальной
безопасности РФ», № 1300, 1997 г.
12) Доктрина информационной безопасности Российской Федерации,
утверждена Президентом РФ № Пр-1835, 2000 г.
а также законы субъектов Российской Федерации и постановления
(распоряжения) их руководителей (глав) по тем или иным вопросам в области
обеспечения безопасности информации. В настоящее время нет единой
структуры региональных актов, законодательные собрания субъектов
Российской федерации находятся на разных уровнях понимания проблемы,
поэтому такие акты разнородны и с трудом поддаются обобщению и анализу.
Данные документы применяются в компании при общем анализе
информационной системы и состояния ее безопасности.
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия
В рассматриваемой компании имеются следующие организационно-
административные меры обеспечения информационной безопасности:
55
организован пропускной режим в офис;
организован режим видеоконтроля в помещениях;
имеются должностные инструкции для персонала, которые
разграничивают их обязанности при работе с конфиденциальной
информацией;
имеется подробное описание процессов обработки конфиденциальной
информации.
В компании имеются корпоративные нормативно-организационные
документы:
устав компании;
трудовые договоры с сотрудниками компании;
чётко разграничены функциональные обязанности сотрудников
компании.
инструкция пользователей ЛВС компании.
Вышеописанные документы содержат указания, требования и правила,
необходимые для обеспечения необходимого уровня информационной
безопасности компании.
Стороны, которые не выполняют условия, разграниченные
вышеуказанными документами, несут ответственность в пределах,
предусмотренных соответствующими пунктами документов и туркменским
законодательством [22].
Для организационного обеспечения информационной безопасности
предприятия предполагается определить организацию защищённого
документооборота компании.
Конфиденциальной информацией рассматриваемой компании являются
любые сведения, разглашение которых может нанести ущерб организации или
связанным с ней лицам.
Конфиденциальные данные обрабатываются компанией на протяжении
всего времени функционирования. Они касаются деятельности самой компании,
клиентов, партнёров и т.д.
Конфиденциальная информация в компании классифицируется по
нескольким направлениям.
56
Относительно содержания информации, она классифицируется на:
экономическую информацию, к примеру, сведения об экономической
ситуации в различных регионах и отраслях, которые могут
отсутствовать в открытых источниках;
коммерческую информацию, к примеру, результаты анализа рынка,
который проведен сотрудниками организации;
технологическую информацию, к примеру, сведения о новых
технологиях работы с клиентами, разработанные сотрудниками
организации;
управленческую информацию, к примеру, данные об используемых
организацией методов управления по различным направлениям
деятельности [14].
Относительно используемого носителя конфиденциальная информация в
компании классифицируется на:
информацию в устном виде, к примеру, сведения, которые обсуждаются
в процессе деловых совещаний;
информацию на бумажных носителях, то есть традиционную форму
документов, которые используется компанией в процессе трудовой
деятельности;
информацию в электронном виде, то есть базы данных, сведения,
которые передаются по информационным коммуникациям, телефонным
линиям [16].
Так как в компании происходят операции с конфиденциальной
информацией, рекомендуется для обеспечения информационной безопасности
использование системы защищенного документооборота.
Документооборот по рабочим операциям является последовательным
движением документации с момента их формирования и до завершения
операций в целом за весь рабочий день. Правильность и четкость организации
документооборота определяют своевременность выполнения обязательств
компании перед клиентами. Именно с этой целью в подразделениях
рассматриваемой компании составляются различные графики
57
документооборота, которые предусматривают движение различных документов
от одного подразделения к другому.
Порядки прохождения документов по подразделениям компании должен
устанавливать главный бухгалтер компании в соответствии с установленными
правилами документооборота и контроля. В процессе выполнения кассовых
операций кассовые документы должны фиксироваться в учете по завершению
приема средств кассой. Наличные средства выплачиваются исходя из расходных
кассовых документов после их отражения по счетам бухгалтерии. Все
документы подвергаются контролю с целью установления законности операции
с ними, верности оформления и возможностей оплаты учитывая фактическое
наличие денежных средств. По завершению проведенной проверки
ответственные исполнители подписывают документы и их копию. Оригиналы
документов используются в качестве основания для фиксации бухгалтерских
записей. Они должны храниться в компании, как оправдательные [21].
Весь спектр кассовых операций должен подвергаться пристальному
контролю. Процедуры документооборота и контроля кассовых расходных
операций предполагается организовать по следующей схеме.
Ответственные исполнители на основе кассовых расходных документов
проверяют законность проведенных операции, а также возможность их
совершения с учетом величины средств в компании. Также осуществляется
проверка правильности оформления документации, сопоставляются подписи
печати клиентов, номера чеков, записанных в карточках образцов подписей.
После этого соответствующий документ передается на проверку контролеру. В
некоторых случаях финансовые операции отражаются ответственными
исполнителями в журнале оперативного учета. В процессе выдачи денег в счет
заработной платы сумма чека фиксируется в специализированной карточке,
которая заводится с целью контроля расходования фонда зарплаты. Контролер
также проверяет правильность оформления документов и заносит общую
рассчитанную сумму средств в расходный кассовый журнал. После этого
документация направляется в кассу, где происходит выдача наличных денег.
Документооборот приходных кассовых операций гарантирует зачисление
средств на специальные счета исключительно после поступления в кассу.