57
возможность контролировать доступ к информации. Любые режимные меры
основываются на так называемой разрешительной системе. Данная система в
обобщенном виде учитывает получение специализированного разрешения на
выполнение определенных правовых мероприятий режимного характера [7].
Разрешительная (или разграничительная) система допуска персонала к
конфиденциальной информации в компании является совокупностью правовых
норм и правил, которые устанавливаются руководителем компании с целью
обеспечить правомерное ознакомление и использование сотрудниками компании
конфиденциальных данных, которые необходимы им для осуществления своих
непосредственных служебных обязанностей [18].
Вышеуказанная система состоит из допуска сотрудников к
конфиденциальным данным и непосредственного доступа сотрудников к
конкретной информации.
Оформление допуска, который подразумевает согласие конкретного лица
на ограничение его действий в области использования информации, всегда
является добровольным в рассматриваемой компании. Допуск дает возможность
сотруднику законное право доступа к строго определенным конфиденциальным
документам, базам данных и отдельным сведениям.
Как указывалось выше, к конфиденциальным данным допускаются лица,
которые проработали в компании определенное количество времени и
зарекомендовали себя с оценкой «положительно».
Допуск к конфиденциальным данным даёт непосредственно руководитель
компании. Данное разрешение оформляется особым пунктом в трудовом
договоре работника. Разрешение на допуск может быть оформлено через приказ
руководителя компании с отметкой о типовом составе сведений, разрешенными
к работе для данного сотрудника или для группы сотрудников. Допуск может
быть временным, действующим в период определенной работы и может быть
пересмотрен при необходимых обстоятельствах [19].
Процедура разграничения доступа к конфиденциальной информации в
компании организована по многоуровневому и иерархическому принципам. С
помощью иерархической последовательности доступа к данным осуществляется
принцип «чем выше уровень допуска, тем меньше число допущенных лиц» и
58
«чем выше ценность информации, тем меньшее количество сотрудников к ним
имеет доступ».
Формой письменной регламентации разрешения на допуск к
конфиденциальной информации является резолюция, различные перечни и
списки. В компании производятся выдачи разрешений на допуск к
конфиденциальной информации. Такие схема разрабатываются, учитывая
следующие аспекты: разрешения выдаются в зависимости от категории
документа и выдача разрешения производится в зависимости от должности
сотрудника, который получает допуск к конфиденциальной информации.
Всей полнотой конфиденциальной информации компании обладает
исключительно руководитель компании. Конфиденциальные данные по
конкретной тематике в полном объеме имеет право получать только заместитель
руководителя компании по его усмотрению. Руководители отдельных
подразделений имеют доступ к конфиденциальным данным по специальному
перечню, который утверждается руководителем компании.
В процессе составления конфиденциальных документов сотрудники
учитывают, что содержание данных документов определяет их функциональное
назначение и именно от содержания документа определяет разрешительную
процедуру допуска сотрудников к этим документам.
Руководство компании добивается минимизации привилегий для
сотрудников по доступу к конфиденциальной информации. В случае
возникновения сбоя в системе информационной безопасности либо если
обнаружен факт исчезновения конфиденциальной информации,
незамедлительно вводятся ограничения на допуск сотрудников либо
ограничение допуска до завершения служебных разбирательств.
Иерархическая последовательность доступа определяет структуру защиты
информации, предусматривающую постепенное введение защитных мер,
интенсивность которых возрастает по иерархической вертикали величины
конфиденциальности информации. Этот момент обеспечивает недоступность
данной информации для случайных пользователей, злоумышленников. Он
определяет нужный уровень защищенности данных.
59
Руководитель компании имеет возможность давать разрешения на
ознакомление с большинством видов конфиденциальных данных компании.
Заместители руководителя по различным направлениям имеют
компетенции разрешать ознакомление с конфиденциальными данными
нижестоящим руководителям, а так же исполнителям, однако данные
разрешения лежат в пределах их компетенций [24].
Руководители структурных подразделений в компании акционерного
общества имеют компетенции разрешить доступ к конфиденциальным данным
работникам подразделений, руководителями которых они являются, но строго
по тематике работ. Руководители структурных подразделений компании могут
давать разрешения исключительно подчиненным ему работникам. Для доступа к
документам подразделения работник другого подразделения должен получить
разрешение соответствующего руководителя. Ответственным исполнителям
работ дана возможность открывать допуск к конфиденциальным данным
подчиненным сотрудникам, однако исключительно в пределах тематики работ.
Руководителю компании дана возможность устанавливать другие
специализированные правила допуска к конфиденциальной информации и базам
данных компании. Руководитель компании ответственен за это единолично.
Допуск к конфиденциальным данным всегда дается руководителем
исключительно в письменном виде. Указывается резолюция на документе. Без
дополнительных разрешений допускаются к рабочим бумагам их
непосредственные исполнители и лица, которые визировали или подписывали
документы. Без специальных разрешений имеют возможность допуска также
лица, которые указаны в тексте рабочих документов. В том случае, если
сотрудники допускаются только к некоторой части документа, в разрешении
четко отмечаются пункты, страницы, разделы, приложения, с которыми
сотрудники могут ознакомиться. Сотрудники службы безопасности обязаны
принимать необходимые меры по пресечению ознакомления исполнителей с
иными частями документов.
Каждый сеанс обращения к какой-либо информации компании в
электронном виде регистрируется. Систематически проверяются используемые
пользователями программные продукты на предмет обнаружения
60
неутвержденного программного обеспечения. Использование сотрудниками
собственных защитных мер в процессе работы с компьютерами не разрешается
службой безопасности. При актах несанкционированного входа в
конфиденциальные каталоги файлов информация автоматический уничтожается.
Процедура контроля доступа к электронным носителям
конфиденциальных данных состоит из:
- организации учета, а так же выдачи работникам чистых электронных
носителей;
- организации фиксируемой выдачи работникам компании, а так же
приема от работников носителей с записанными данными (основными и
резервными),
- организации закрепления за работниками электронных носителей
информации [18].
Работа сотрудников компании с электронными носителями данных вне
персональных компьютеров организована по аналогии с бумажным
конфиденциальным документооборотом.
Разрешение на допуск к конфиденциальной информации в компании
дается при:
- наличии подписанного приказа руководителя компании о постановке на
должность сотрудника компании, в функциональную сферу которой входит
работа с данной информацией;
- наличии подписанного сотрудником и работодателем трудового
договора, который имеет пункт о сохранении тайны организации, а так же
подписанного обязательства неразглашения конфиденциальных сведений;
- соответствии профессиональных обязанностей работника занимаемой им
должности;
- знании работником требований нормативных и методических актов и
документов по информационной безопасности и сохранении тайны организации
[20].
Разрешение на допуск к работам с конфиденциальными сведениями
персонифицировано. Руководители лично несут персональную ответственность
за правильную выдачу ими разрешений на работу с конфиденциальными
61
данными исполнителей. Лица, которые работают с конфиденциальными
данными, несут персональную ответственность за сохранение тайны их
содержания, а так же сохранность носителей и соблюдение правил работы с
документацией.
После проведенной работы по изучению организации системы допуска
персонала к конфиденциальной информации в компании и анализа полученных
результатов, можно достоверно утверждать, что в целом система допуска
персонала к конфиденциальной информации организована удовлетворительно и
обеспечивает необходимый уровень безопасности данных.
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия
2.2.1. Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия
Структура СКУД «Elsys» представлена на рисунке 2.1.
Рис.2.1. Структура СКУД «Elsys»
62
Контроллеры Elsys-MB объединяются в сеть по двухпроводному
интерфейсу RS-485 (до 63 контроллеров в одной линии связи) или
подключаются непосредственно к локальной вычислительной сети предприятия
через модули расширения Elsys-IP. Линии связи RS-485 подключаются к серверу
оборудования СКУД через преобразователи интерфейсов RS-485/RS-232 или
RS-485/USBRS232 (до 16 линий на один сервер оборудования), либо по
компьютерной сети предприятия через коммуникационные сетевые контроллеры
(КСК) Elsys-MB-Net (до 240 КСК на один сервер оборудования). Кроме того, в
системе может быть несколько серверов оборудования, объединенных
компьютерной сетью, что обеспечивает практически неограниченные
возможности масштабирования системы.
Сочетание ряда технических решений, принятых в системе, придает ей
уникальные возможности:
высокая производительность и большой объем памяти контроллеров
Elsys-MB, обеспечивающие обслуживание большого (до 162 тысяч на
один контроллер) числа пользователей и длительную работу (до
нескольких суток) в автономном режиме в условиях интенсивного потока
событий без потери информации;
высокая отказоустойчивость системы, обусловленная возможностью
применения кольцевых (RS-485) и многоальтернативных (Ethernet) схем
линий связи, а также одноуровневой архитектурой;
использование контроллеров доступа с интерфейсами RS-485 и/или
Ethernet для создания однотипной или комбинированной сети СКУД с
сохранением единого информационного пространства и аппаратных
взаимодействий между КД;
аппаратная реализация функции «глобальный контроль
последовательности прохода» (antipassback) в масштабах системы,
содержащей до 15120 контроллеров, в том числе и географически
распределенной;
уникально гибкое управление временными расписаниями и полномочиями
пользователей;
63
широкие возможности по программированию логики работы
контроллеров Elsys-MB без участия разработчика;
встроенные охранные функции;
работа в составе интегрированной системы безопасности под управлением
АПК «Бастион».
Наиболее полно функционал СКУД Elsys востребован:
на крупных и средних предприятиях с большим числом сотрудников и
точек доступа;
на режимных объектах с повышенными требованиями к организации
пропускного режима;
при создании на объекте интегрированной системы безопасности;
в подразделениях Центрального Банка РФ, инструкция по пропускному
режиму которого реализуется СКУД Elsys в полном объеме, в других
банковских учреждениях.
Контроллеры доступа (КД) являются аппаратной основой СКУД Elsys,
обеспечивая все основные функции – анализ кода идентификатора,
передаваемого считывателями, принятие решений о предоставлении доступа,
управление исполнительными устройствами и протоколирование событий. В
состав системы входят пять модификаций КД, поддерживающих общий
протокол обмена и рассчитанных на эксплуатацию в единой информационной
сети СКУД.
Рис.2.2. Контроллеры доступа
64
Старшие модели контроллеров полностью программно совместимы,
выполнены на общем конструктивном базисе и отличаются числом входов
считывателей, входов для подключения управляющих цепей и выходов
управления исполнительными устройствами СКУД.
Встроенный резервированный источник питания с подключенной к нему
аккумуляторной батареей напряжением 12 В и емкостью 7 А*ч обеспечивает
питание одного или двух замков и поддерживает функционирование СКУД в
случае перебоев (длительностью до нескольких часов) сетевого питания.
Встроенная литиевая батарея обеспечивает работу внутренних часов
контроллера, сохранность протокола событий и всех настроек при более
длительном отключении сетевого питания.
Дополнительные модули предназначены для установки в КД базовых
модификаций и включают в себя модули расширения памяти серии Elsys-XB и
модуль Ethernet-интерфейса Elsys-IP.
Модули расширения памяти выпускаются в четырех модификациях Elsys-
XB2, Elsys-XB8, Elsys-XB32, Elsys-XB64.
Рис.2.3. Модули расширения памяти
Установка модуля обеспечивает:
увеличение размера базы данных идентификаторов, уровней доступа и
временных интервалов;
увеличение количества событий, сохраняемых в памяти КД при
отсутствии связи с сервером СКУД;
65
расширение функций базового варианта КД – поддержку модуля Ethernet-
интерфейса Elsys-IP, охранных режимов, перераспределения памяти
между элементами базы данных, увеличение ресурса работы и
быстродействия при высокой интенсивности проходов.
Номинальные значения параметров установлены по умолчанию и
достигаются одновременно. Максимальные значения обеспечиваются при
перераспределении памяти за счет уменьшения других характеристик.
Модуль Elsys-IP совместим с контроллерами аппаратной версии 3.0 (с DIP
переключателями) и версией встроенного программного обеспечения 2.60 и
выше. Для работы с модулем необходимо наличие любой установленной платы
расширения памяти серии Elsys-ХВ.
Рис.2.4. Модуль Elsys-IP
Установка модуля интерфейса Elsys-IP обеспечивает:
подключение контроллеров базового исполнения с интерфейсом RS-485 к
сети Ethernet стандартным кабелем UTP с разъемом RJ 45;
увеличение скорости инициализации и опроса контроллеров (для крупных
систем – до 10 раз);
организацию до 240 независимых сетевых групп по 63 контроллера в
каждой общим количеством до 15120 IP-устройств;
66
совместную работу с коммуникационными сетевыми контроллерами
Elsys-MB-Net для объединения сетевых групп или сетевых групп и линий
связи RS-485;
дистанционное обновление версии собственного встроенного
программного обеспечения и встроенного программного обеспечения
контроллера, в составе которого он используется, по сети Ethernet;
дополнение существующих функций системы и расширение
коммуникационных возможностей КД и снижение затрат на прокладку
кабелей связи для объектов с развитой IT инфраструктурой.
Исполнительные устройства
Контроллеры Elsys-MB обеспечивают обслуживание дверей с
односторонним или двусторонним контролем прохода, турникетов, шлюзов,
ворот и шлагбаумов. Для точек доступа предусмотрена настройка ряда
параметров – тип замка двери (электромагнитный или электромеханический),
время включения управляющего реле, время ожидания прохода и др.
Управление режимами точек доступа («нормальный», «блокировка», «аварийное
открывание», «дополнительное ограничение доступа») возможно как из
программного обеспечения СКУД (с любого рабочего места системы), так и
аппаратно, в виде реакций на внутренние или внешние события.
В подсистеме охранной сигнализации (ОС) контроллеров Elsys-MB для
удобного конфигурирования параметров и эксплуатации аппаратно
реализованы:
дополнительные опции настройки шлейфов сигнализации (ШС) –
«Задержка взятия на охрану», «Задержка тревоги», «Автоматическое
взятие из состояния «Невзятие», «Автоматическое взятие из состояния
«Тревога», «Формировать тревогу при 10-процентном отклонении
сопротивления шлейфа»;
выбор типа ШС в соответствии с его назначением – «Охранный», «Вход»
«Объем», «Круглосуточный», «Вход общего назначения»;
поддержка разделов ОС – до восьми разделов на контроллер, в состав
которых могут быть включены любые ШС, обслуживаемые контроллером;