6
Оглавление
Введение ................................................................................................................................. 8
1 Аналитическая часть .................................................................................................... 11
1.1 Технико-экономическая характеристика предметной области и предприятия
(Установление границ рассмотрения) ............................................................................ 11
1.1.1 Общая характеристика предметной области ................................................ 11
1.1.2 Организационно-функциональная структура предприятия ........................ 13
1.2 Анализ рисков информационной безопасности ................................................. 18
1.2.1 Идентификация и оценка информационных активов .................................. 18
1.2.2 Оценка уязвимостей активов ......................................................................... 25
1.2.3 Оценка угроз активам ..................................................................................... 30
1.2.4 Оценка существующих и планируемых средств защиты ........................... 35
1.2.5Категорирование ................................................................................ информации
41
1.2.6 Потенциальные каналы утечки информации ............................................... 43
1.2.7 Оценка рисков ................................................................................................. 46
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты
информации на предприятии .......................................................................................... 49
1.3.1 Выбор комплекса задач обеспечения информационной безопасности ..... 49
1.3.2 Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации ................................................................................................................... 52
1.4 Выбор защитных мер ............................................................................................. 56
1.4.1 Выбор организационных мер ......................................................................... 56
1.4.2 Выбор инженерно-технических мер ............................................................. 58
2 Проектная часть ............................................................................................................ 65
2.1. Комплекс организационных мер обеспечения информационной безопасности
и защиты информации предприятия .............................................................................. 65
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия ................................................................................................................... 65
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации предприятия
72
7
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ....................... 77
2.2.1. Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия ................................................... 77
2.2.2. Контрольный пример реализации проекта и его описание ........................ 83
3. Обоснование экономической эффективности проекта ............................................. 89
3.1. Выбор и обоснование методики расчёта экономической эффективности ....... 89
3.2. Расчёт показателей экономической эффективности проекта ............................ 95
Заключение ......................................................................................................................... 100
Список использованной литературы .......................................................................... 103
Приложение ........................................................................................................................ 106
8
Введение
Современный мир все чаще прибегает к услугам автоматизированных систем
контроля и управления доступом. На многочисленных предприятиях автоматизация
используются для повышения безопасности объекта, сохранности материальных
ценностей и информации, обеспечения дисциплины и внутреннего порядка.
Система контроля и управления доступом включает в себя совокупность
организационных и технических средств, при помощи которых решаются задачи
управления допуском людей в помещения различной категории, зоны ограниченные в
доступе, учета и контроля. Пропускные пункты, входы/выходы в здания и помещения
оснащаются средствами обеспечивающие ограниченность доступа. Данное
оборудование подключаются к контроллерам системы, которые объединяются в сеть
и подключаются к головному компьютеру, с которого, осуществляется управление и
контроль функционирования системы. Идентификация людей в системе проходит
через бесконтактные пластиковые карты с индивидуальным кодом. Каждая карта
является носителем информации о владельце карты и уровне доступа, так же
используется в качестве пропуска или ключа. Система фиксирует все перемещения
персонала, данная информация используется для организации учета рабочего
времени и контроля за дисциплиной [4,6].
СКУД – это система контроля и управления доступом, а проявляться эта
система может даже в электронном замке квартирной двери. Назначение СКУД
достаточно примитивно – обеспечить автоматическую фильтрацию посетителей по
признаку – можно войти/нельзя. При этом «замок» может быть не одним
устройством, а их совокупностью, объединённой целью – преградить доступ в
помещения, поэтому в системах контроля доступа такие «замки» обозначаются
термином «исполнительные устройства», которые могут принимать вид собственно
замка (электромагнитного и электромеханического), турникета, шлагбаума или
электромеханической защёлки. Автоматическая фильтрация посетителей позволяет
контролировать ситуацию, безопасность персонала и сохранность материальных
ценностей и информации, а также порядок на объекте. Качество выполнения этой
совокупности задач зависит от вида СКУД, её функциональности и удобства работы с
самой системой.
9
Без систем контроля доступа невозможно обеспечить безопасность
общественных и частных объектов, техники и людей. Куда бы мы ни отправились,
нам приходится сталкиваться с теми или иными элементами систем управления
доступом. Технологии совершенствуются, и если раньше нам приходилось лишь
проходить через вертушки общественных приемных или турникеты в метро, то
сейчас практически везде можно увидеть камеры видеонаблюдения или
предупреждающие таблички о скрытой съемке.
Без подобных систем не обойтись в супермаркетах и аэропортах, ведь службам
безопасности необходимо видеть, что творится в помещениях магазинов или
наблюдать, кем и на каких условиях осуществляется заказ самолета. Камеры
устанавливаются на улицах городов для контроля над перемещениями людей и
транспорта, а в некоторых оживленных местах на автострадах или дорогах можно
увидеть системы распознавания автомобильных номерных знаков. Даже домофоны, к
которым все уже давно привыкли, являются частью систем безопасности, позволяют
оградить жильцов от непрошеных гостей или хищений собственности. Обойтись без
обеспечения безопасности порой и вовсе невозможно, но что системы безопасности
нам дают, кроме контроля? Вопрос частной жизни давно открыт. С появлением
первых систем аудио- или видеонаблюдения, нам пришлось задуматься над тем, как
влияют на поведение общественности всевозможные камеры и контроллеры.
Разумеется, многим неприятно осознавать тот факт, что за ними наблюдают: тогда, к
примеру, чтобы избежать огласки, некоторые нанимают частный самолет вместо
того, чтобы проходить жесткий контроль в общественном аэропорту. Как говорится,
предупрежден, значит, вооружен – со знанием того, что в магазине осуществляется
видеонаблюдение, потенциальный злоумышленник уже не рискнет пронести мимо
кассы какой-либо неоплаченный предмет, а скандалист не станет лишний раз
ругаться с продавцом или хамить окружающим. Получается, что благодаря системам
контроля и управления доступом, нам удается наладить более спокойную обстановку,
снизить количество конфликтов и уровень преступности.
Однако, само приобретение системы СКУД не является залогом спокойствия –
все элементы, будь то камеры, домофоны или турникеты, необходимо правильно, со
знанием дела, установить. Когда за дело берутся высококлассные специалисты,
10
системы устанавливаются максимально корректно и грамотно, что дает нам
уверенность и спокойствие.
Объектом исследования является Центральная дистрибьютерская компания,
предметом исследования – обеспечение информационной безопасности компании с
использованием СКУД. Целью работы является разработка системы
информационной безопасности, включая организационные, инженерно-технические и
программные средства защиты.
Задачами выпускной квалификационной работы являются:
Анализ состояния системы защиты информации в компании;
Выделение информационных активов, подлежащих защите, определение
средств и методов защиты;
Расчет срока окупаемости системы информационной безопасности.
11
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
ООО «Центральная дистрибьюторская компания» (ЦДК) – дистрибьютор
крупных транснациональных производителей потребительских
товаров: Procter&Gamble, Nestle, Philips, Mars, Ferrero Russia, Bagi, Jacobs, Cotton
Club и др. Штат компании насчитывает 3 300 сотрудников, логистическая
инфраструктура включает 12 площадок в 12 областях Российской Федерации, 42 345
кв. м складских площадей, 269 единиц транспорта.
с - крупный дистрибьютор и оператор по предоставлению услуг inStore-
поддержки (мерчендайзинга) компаний: Procter&Gamble, Nestle, Сыктывкарский
ЦБК, Cotton Club, Bagi, Philips, Mars, Ferrero Russia и др.
«Центральная Дистрибьюторская Компания» представлена в 12 областях
Российской федерации, где открыты 11 логистических площадок (общей площадью
42 345 кв.м.)
Главные приоритеты компании – инвестиции в развитие персонала и
повышение уровня клиентского сервиса.
Миссию и ценности сама Центральная Дистрибьюторская Компания
формулирует следующим образом:
Миссия:
– Мы предоставляем клиентам максимальный уровень сервиса, обеспечивая их
товарами и услугами
– Масштаб, успешность и опыт наших партнеров мотивируют нас постоянно
использовать лучшие технологии и развивать команду
– Следуя этим принципам, мы инвестируем доход нашего бизнеса, прежде
всего, в процветание наших партнеров и профессиональный рост наших сотрудников
Ценности:
Сотрудники
– Гордиться званием работника ЦДК
– Развиваться самому и усиливать своё подразделение
– Строить открытые и честные отношения
12
Эффективность
– Делать больше меньшими средствами
Внутренняя клиентоориентированность
– Уважительное отношение
– Взаимопомощь при достижении целей Компании.
ООО «Центральная дистрибьюторская компания» также оказывает Услуги
3PL (Third Party Logistics) – предоставление комплекса логистических услуг от
перемещения товаров от производителя или поставщика на распределительный центр
(РЦ) клиента до доставки скомплектованных на РЦ заказов в торговые точки. 3PL-
провайдер, в интересах своего клиента, управляет материальными и
информационными потоками между клиентом, его поставщиками и ритейлерами,
оказывает услугу ответственного хранения, консолидирует и обрабатывает грузы на
РЦ, комплектует заказы и осуществляет предпродажную подготовку товаров перед
отправкой в розничную сеть или конечному потребителю.
Центральная Дистрибьюторская Компания в качестве 3PL-провайдера
предлагает своим клиентам полный комплекс логистических услуг на
территории Центрального Федерального Округа РФ.
В 2011 Центральная Дистрибьюторская Компания разработала новую
собственную систему мобильной торговли Yukon. В отличие от других ИТ компаний,
мы имели возможность обкатать систему на собственном бизнесе, что с одной
стороны большая ответственность, а с другой позволило нам выбрать лучшие
решения. Мы работаем с брендами разных ценовых категорий и разными группами
товара, поэтому система изначально проектировалась очень гибкой. Наш торговый
представитель работает с большим количеством SKU, он имеет много целей, которые
составляют его KPI. Цель при проектировании системы была в том, чтобы избавить
торгового представителя от необходимости носить с собой бумажные материалы, а
также помочь ему четко понимать, что именно он должен делать в каждый визит,
чтобы достигать своих целей. Если каждый сотрудник отдела продаж выполняет
свою цель – это значит только одно – выполнение плана продаж всей компании!
Модуль маршрутизации и контроля за местоположением торгового
представителя позволяет руководителям торговых команд оперативно
контролировать деятельность своих сотрудников.
13
Интерфейс системы Yukon, рассчитанный на управление пальцами, упрощает
торговому представителю выполнение всех необходимых операций. Система
постоянно фокусирует его внимание на условиях, необходимых для достижения
целей, помогает сориентироваться в огромном ассортименте.
Yukon функционирует на мобильных устройствах под управлением
современной операционной системы Android.
Программа мобильной торговли Yukon, разработанная Центральной
Дистрибьюторской Компанией, заинтересовала сразу несколько крупнейших
торговых компаний России, Сейчас уже более 500 торговых представителей работают
на СМТ Yukon. Yukon позволяет в режиме реального времени контролировать все
операционные процессы продаж торгового представителя – от уровня
рекомендованного заказа для магазина до выполнения сотрудником его
персональных KPI, параллельно отслеживает его продвижение по маршруту.
1.1.2 Организационно-функциональная структура предприятия
Организационно-штатная структура управления Центральная
дистрибьютерская компания приведена на рисунке 1.1.
14
Рисунок 1.1 Организационно-штатная структура управления Центральная дистрибьютерская компания
15
Работой предприятия руководит генеральный директор, а также совет
акционеров общества. В подчинении генерального директора находятся
следующие должностные лица, которые одновременно являются его
заместителями:
- директор департамента информационных технологий;
- финансовый директор;
- директор департамента торгового маркетинга и мерчендайзинга;
- директор по стратегическому развитию;
- директор департамента логистики;
- директор по работе с персоналом;
- юридическая служба.
Департамент информационных технологий выполняет следующие задачи:
1.Разработка и внедрение проектов совершенствования технологичного
управления Компанией.
2. Экономия средств Компании за счет применения высокотехнологичных
систем управления.
3. Выявление и оперативное устранение перебоев в работе оборудования и
пользователей.
Директор по стратегическому развитию выполняет следующие обязанности:
1. Определяет общую концепцию политики развития предприятия.
2. Обосновывает цели развития предприятия.
3. Разрабатывает эффективную стратегию развития и основные разделы
плана развития предприятия.
4. Проводит «диагностику» всех производственных, коммерческих
процессов на предприятии.
5. Подготавливает конкретные программы развития и реструктуризации
предприятия, анализирует возможность финансового обеспечения программ.
6. Устанавливает приоритеты бюджетирования и проводит мониторинг
расходов для обеспечения гарантий финансовой стабильности реализуемых
программ.
7. Организует расчеты эффективности от реализации проектов развития
предприятия.