6
Содержание
ВВЕДЕНИЕ .......................................................................................................... 8
Глава 1. Аналитическая часть .......................................................................... 11
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения) ...................................... 11
1.1.1. Общая характеристика предметной области ............................... 11
1.1.2 Организационная структура управления предприятием ............. 12
1.2. Анализ рисков информационной безопасности ................................. 14
1.2.1 Идентификация и оценка информационных активов .................. 14
1.2.2. Оценка уязвимостей активов ......................................................... 18
1.2.3. Оценка угроз активам ..................................................................... 19
1.2.4. Оценка существующих и планируемых средств защиты. .......... 21
1.2.5. Оценка рисков ................................................................................. 27
1.3. Характеристика комплекса задач, задачи и обоснование
необходимости совершенствования системы обеспечения
информационной безопасности и защиты информации на предприятии ... 32
1.3.1. Выбор комплекса задач обеспечения информационной
безопасности .................................................................................................. 32
1.3.2. Определение места проектируемого комплекса задач в
комплексе задач предприятия, детализация задач информационной
безопасности и защиты информации .......................................................... 32
1.4. Выбор защитных мер ............................................................................. 34
1.4.1. Выбор организационных мер ......................................................... 34
1.4.2. Выбор инженерно-технических мер ............................................. 36
Глава 2. Проектная часть .................................................................................. 41
7
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия ....................................... 41
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия. ........................................................................... 41
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия. .................................................................................................. 43
Политика информационной безопасности предприятия. ..................... 43
2.2 Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия ....................................................................................................... 45
2.2.1. Основные сведения о внедряемых программно-аппаратных
средствах обеспечения информационной безопасности ........................... 45
2.2.2 Контрольный пример реализации проекта и его описание ......... 52
Глава 3. Обоснование экономической эффективности проекта .................. 71
3.1 Выбор и обоснование методики расчёта экономической
эффективности ................................................................................................... 71
3.2 Расчёт показателей экономической эффективности проекта ............. 72
Заключение ........................................................................................................ 80
Список литературы ........................................................................................... 83
Приложение 1 .................................................................................................... 87
8
ВВЕДЕНИЕ
В связи с непрерывным развитием техники на рынке появляются
усовершенствованные и просто иные (новые) продукты цифровых носителей
информации, выпуск и распространение которых в той или иной степени
затрагивают вопросы авторства на конкретные объекты. Были разработаны
методические рекомендации по выявлению признаков нелицензионной
продукции, и по другим направлениям деятельности.
По статистике, кибератакам подвергается каждая третья мелкая
организация и каждая шестая крупная. Меньше 50% компаний стремятся
обезопасить информацию в интернете, и лишь немногие из них регулярно
занимаются обновлением системы безопасности. В результате это
В защите данных нуждаются все компании, которые хранят и
обрабатывают информацию. Чем больше используется IT-технологий в
организации, тем больше внимания нужно уделять виртуальной
безопасности. Мероприятия по защите информации в интернете должны
организовываться регулярно и быть обязательной частью стратегии
компании.
Решить проблему поможет внедрение корпоративной политики,
призванной минимизировать риски и предотвратить финансовый ущерб.
Целью мероприятия является защита всех данных, связанных с
деятельностью компании.
Основной причиной потерь, связанных с компьютерами, является
недостаточная образованность в области безопасности.
Как известно, под информационной безопасностью понимается
защищенность информации от случайных или преднамеренных воздействий
естественного или искусственного характера, чреватых нанесением ущерба
владельцам или пользователям информации [2].
Цель информационной безопасности - обезопасить ценности
системы, защитить и гарантировать точность и целостность информации и
9
минимизировать разрушения, которые могут иметь место, если информация
будет модифицирована или разрушена.
На практике важнейшими являются три аспекта информационной
безопасности:
• Доступность (возможность за разумное время получить требуемую
информационную услугу);
• целостность (ее защищенность от разрушения и
несанкционированного изменения);
• конфиденциальность (защита от несанкционированного прочтения).
Цель данной работы – Защита персональных данных в 1с Зарплата и
управление персоналом.
Объектом исследования является ООО «СвязьИнформ».
Предмет исследования – Средства защиты информации в 1с
Зарплата и управление персоналом.
Задачи проекта:
• Охарактеризовать и проанализировать деятельность предприятия;
• определить и проанализировать риски информационной
безопасности;
• охарактеризовать комплекс задач;
• выбрать защитные меры;
• рассмотреть комплекс организационных мер обеспечения
безопасности;
• рассмотреть комплекс проектируемых программно-аппаратных
средств обеспечения информационной безопасности;
• рассчитать показатели экономической эффективности проекта.
В первой части – описывается компания, рассматривается
организационно-функциональную структурная компании, провести анализ
рисков ИБ, охарактеризовать и обосновать комплекс задач и задачи ИБ,
выбрать организационные и инженерно-технические меры обеспечения ИБ.
10
Во второй части – определить организационно-административные
основы создания системы обеспечения ИБ, определить структуру
программно-аппаратного комплекса информационной безопасности и
рассмотреть контрольный пример реализации выбранных мер.
В третьей части – экономической, рассматривается расчёт
экономической эффективности. По результатам расчётов экономической
эффективности производится анализ эффективности внедрения системы ИБ.
11
ГЛАВА 1. АНАЛИТИЧЕСКАЯ ЧАСТЬ
1.1. Технико-экономическая характеристика предметной области
и предприятия (Установление границ рассмотрения)
1.1.1. Общая характеристика предметной области
ООО «СвязьИнформ» является одной из первых частных компаний в
телекоммуникационной отрасли. Компания была создана в 1991 году, а на
текущий момент времени предоставляет клиентам широкий перечень услуг
связи.
Несмотря на то, что в момент создания компании ее создатели
столкнулись с трудностями, которые были связаны с отсутствием даже
самых простых нормативных правил о предоставлении услуг и Закона о
связи, компания смогла развиваться и занимать хорошие позиции на рынке.
На сегодняшний день ООО «СвязьИнформ» является одним их
крупнейших операторов связи в нашей стране. Специалистами компании
осуществляется проектирование, ведется строительство
телекоммуникационных сооружений, а также организуется эксплуатация
автоматических телефонных станций.
В своей деятельности компания использует преимущества новых
технологий, что ведет ее к успешному и динамичному развитию в данной
отрасли. В компании удалось наладить четкую взаимосвязь с каждым
клиентом (заказчиком).
Компания имеет надежных партнеров, осуществляя с ними тесное
сотрудничество, координируясь и объединяясь относительно многих
вопросов. Год за годом компаний строятся и запускаются в эксплуатацию
новые телефонные станции, а также прокладываются современные сети.
Основным видом деятельности компании является деятельность в области
архитектуры, инженерных изысканий и предоставления технических
консультаций в данных областях. Кроме того, компания осуществляется и
дополнительные виды деятельности. «СвязьИнформ» осуществляет свою
деятельность в форме общества с ограниченной ответственностью.
12
Экономические показатели отражены в таблице 1.
Таблица 1
Основные экономические показатели деятельности предприятия
Показатели млн. руб.
2018г.
1. Выручка
276,24
2. Себестоимость
283,02
3. Прибыль (убыток) до налогообложения
59,57
4. Чистая прибыль (убыток) отчетного
периода
62,86
5. Рентабельность продаж, %
75,61
ООО "СвязьИнформ" на текущий момент времени занимает
лидирующие позиции на рынке телекоммуникационных услуг. Хорошее
развитие получили сервисы для семьи, разнообразные услуги связи и
цифровые решения для геймеров, а также сфера онлайн-образования и
система под названием «Умный дом».
1.1.2 Организационная структура управления предприятием
Компания ООО "СвязьИнформ" структурно состоит из следующих
отделов, представленных на рисунке 1.
13
Рисунок 1. Схема общей организационной структуры
управления предприятием
Начальник (управляющий) и его заместители осуществляют
руководство всей компанией. Главным инженером компании решаются
вопросы производственной и технической деятельности, также он несет
ответственность за вопросы, связанные с безопасностью труда и правильной
его организацией.
ОТиЗ (отдел труда и зарплаты) помогает основным производителям
осуществлять разработку и подготовку плановых рабочих заданий,
формировать нормативную базу по труду, вести всю отчетность по затратам
рабочего времени и человеческих ресурсов.
Инженер по технике безопасности занимается решением вопросов,
связанных с обучением со рудников компании грамотным методам
осуществления операций по строительству, проводит инструктаж по технике
безопасности, а также контролирует соблюдение норм безопасности.
Вопросы экономического характера решаются главным экономистом
компании, который анализирует деятельность организации и решает все
коммерческие вопросы. Ему подчиняются несколько отделов – плановый
отдел, сметно-договорной отдел, а также бухгалтерия. Роль бухгалтерии
Управляющий
Главный
инженер
ПТО
ОДО
Отдел охраны
труда
Контроль
качества
Главный
экономист
Плановый
отдел
Бухгалтерия
СМУ
Управление
проектами
Заместитель по
МТО
Служба
маркетинга
Управление
ПТК
Зам по адм.
вопросам
Отдел кадров
АХЧ
14
является одной из важнейших. Бесспорным является тот факт, что без
бухгалтерии ни одна компания не сможет эффективно осуществлять свою
деятельность и в целом функционировать.
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Для того чтобы выявить самые проблемные области относительно
обеспечения информационной безопасности предприятия ООО
"СвязьИнформ", а на основе этого сформулировать приоритетные
направления в реализации защитных мер, необходимо проанализировать
риски информационной безопасности.
Оценка рисков играет важную роль в рамках системы управления
информационной безопасностью.
Рассматривая определение понятия «риск», стоит сказать, что под ним
понимается неопределенность, которая предполагает возможность ущерба.
Данный ущерб непосредственно связан с нарушениями информационной
безопасности. Оценка рисков является таким процессом, который охватывает
идентификацию риска, его анализ и сравнительную оценку.
Анализ рисков является поэтапным процессом, и предусматривает
следующие задачи:
- идентифицировать имеющиеся ресурсы;
- идентифицировать требования бизнеса и требования действующего
законодательства, которые применяются к идентифицированным ресурсам;
- оценить идентифицированные ресурсы, учитывая выявленные
требования, а также проанализировать последствия, которые могут
возникнуть при нарушении их целостности, доступности и
конфиденциальности;
- идентифицировать значимые угрозы и уязвимости
идентифицированных ресурсов;
15
- оценить вероятность реализации идентифицированных угроз и
уязвимостей.
Оценка риска подразумевает его вычисление и непосредственную
оценку на основании шкалы рисков, которая должна быть определена
заранее.
Стоит отметить, что оценка рисков рассматривается в качестве
эффективного механизма управления информационной безопасности в
организации. Оценка рисков имеет следующие преимущества:
- идентификация и оценка информационных активов организации;
- оценка необходимости внедрения тех или иных средств для защиты
информации;
- оценка эффективность средств защиты информации. Которые уже
были внедрены в компании.
Рассмотри основные активы компании ООО "СвязьИнформ". Они
представлены:
1. Информацией (данными);
2. Различными аппаратными средствами (компьютерами, принтерами,
сканерами);
3. Программным обеспечением, которое включает прикладные
программы;
4. Оборудованием, которое обеспечивает связь (телефонами, медными
и оптоволоконными кабелями);
5. Программно-аппаратными средствами;
6. Документами (договорами, контрактами).
7. Объектами компании.
8. Оборудованием, которое обеспечивает необходимые условия
работы.
9. Сотрудниками компании.
10. Престижем (имиджем) организации ООО "СвязьИнформ".