16
8. Готовит предложения по освоению новых направлений бизнеса, освоению
новых рынков; разрабатывает проекты технической и административной
модернизации предприятия.
9. Организует презентацию проектов и графиков их реализации высшему
руководству, защищает и обосновывает их, отвечает на вопросы руководства по
проектам.
10. После утверждения проектов организует подготовку соответствующей
документации, получение соответствующих лицензий и разрешений.
11. Доводит утвержденные графики проведения работ по реализации
проектов до руководящего персонала предприятия.
12. Назначает работников, ответственных за реализацию проектов, дает
общие указания, осуществляет непосредственное руководство ими и координацию
их деятельности.
13. Организует взаимодействие всех структур предприятия по реализации
проектов развития предприятия.
14. Координирует работы по реализации проектов на всех этапах,
контролирует соответствие принимаемых решений и совершаемых действий
основной концепции развития предприятия.
15. Анализирует экономические, финансовые показатели на каждом этапе
реализации проектов развития.
16. Разрабатывает методики по оперативному реагированию на кризисные и
нестандартные ситуации, которые могут привести к срыву плана развития
предприятия, иным неблагоприятным для предприятия последствиям.
Директор по логистике:
1. Управляет логистикой (обеспечивает составление логистических
прогнозов и планов; координирует проведение работ по проектированию
логистических систем и внедрению их на предприятии; рассчитывает затраты на
логистику, разрабатывает бюджет на логистику и обеспечивает его соблюдение;
организует работы по созданию и внедрению логистических информационных
систем.
2. Управляет материально-техническим снабжением и закупками
(разрабатывает планы закупок; координирует поиск поставщиков; руководит
17
анализом условий договоров поставок и надежности поставок; обеспечивает
составление и своевременное размещение заказов у поставщиков; координирует
заключение договоров с поставщиками; принимает участие в определении видов и
сроков платежей по заключенным договорам; организует взаимодействие с
поставщиками; обеспечивает составление отчетов; анализирует выполнение
заказов и результаты поставок.
3. Управляет запасами (анализирует планы производства и отчеты по их
выполнению; планирует объемы запасов, необходимых для непрерывного
производства с увязкой с затратной базой на хранение и обслуживание запасов;
координирует работы по расчетам затрат на формирование и хранение запасов,
расходов на приобретение, на эксплуатацию мест хранения (аренда, платежи за
энергоснабжение, пр.), текущее обслуживание (хранение, инвентаризация,
внутреннее перемещение), страхование; оценивает затраты и издержки на запасы;
проектирует и применяет системы управления запасами; моделирует схемы
управления запасами; разрабатывает методы учета, оценки и моделирования
запасов; координирует инвентаризацию запасов; контролирует состояние запасов.
4. Организует складскую деятельность (определяет типы,
месторасположение и размер складов, необходимых для хранения материально-
технических ресурсов и готовой продукции; определяет виды складского
оборудования и производит расчеты его оптимального количества; рассчитывает
затраты на складскую деятельность; координирует складской технологический
процесс (поступление материально-технических ресурсов и продукции на склады,
проведение погрузочно-разгрузочных операций, приемку-передачу ресурсов и
продукции на склады, обеспечение необходимых режимов и условий их хранения
на складах); оптимизирует процессы перемещения ресурсов и продукции внутри
предприятия; разрабатывает методические указания по организации складского
учета.
5. Контролирует управление транспортировкой товаров из других регионов
РФ, определяет перевозчика грузов, исходя из наиболее эффективных схем работы
транспортных организаций и наиболее оптимальных видов транспорта (в
соответствии со стандартами на условия транспортировки отдельных видов
грузов), транспортных тарифов, технико-эксплуатационных, экономических и
18
стоимостных показателей перевозки; определяет методы и схемы оптимизации
транспортно-технологических схем доставки грузов; обеспечивает заключение
договоров на перевозку, транспортно-экспедиционное и иное обслуживание,
связанное с транспортировкой грузов; разрабатывает планы перевозок; организует
технологический процесс перевозки (передача грузов перевозчикам, контроль за
доставкой грузов грузополучателям, координация погрузочно-разгрузочных работ);
обеспечивает документооборот транспортно-технологического процесса;
анализирует качество перевозки и своевременность доставки грузов.
6. Управляет логистическим персоналом (организует подбор и обучение
персонала; знакомит персонал с основами логистики; ставит задачи перед
персоналом по отдельным направлениям; оценивает работу персонала.
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Идентификация информационных ресурсов должна быть выполнена в
отношении поименованных информационных объектов (массивов и баз данных,
документов и массивов документов, сообщений и т. д.) с учетом выявления
сведений по их владению и использованию.
Целесообразно выделить характеристические показатели (признаки)
использования:
в функциональных подсистемах (прикладных сервисах) АС и
автоматизированных задачах функциональных подсистем, для решения которых
необходима информация из этих информационных объектов;
в подразделениях и службах (возможно, с указанием должностей), в
интересах которых решаются автоматизированные задачи;
в удаленных объектах ОИ (площадки, представительства и т. д.)
(наименование, место расположения объекта).
Обязательным характеристическим показателем информационного объекта
должен быть уровень конфиденциальности.
19
Категорирование информационных активов компании является
необходимым элементом организации работ по обеспечению информационной
безопасности компании, целями которого является:
создание нормативно-методической основы для дифференцированного
подхода к защите ресурсов АС Компании, (информации, задач,
специализированных АРМ, рабочих станций);
выработка типовых решений по принимаемым организационным
мерам защиты и распределению аппаратно-программных средств защиты для
различных категорий рабочих станций АС компании.
Активы компании делятся на 2 класса:
информационные ресурсы;
аппаратные ресурсы.
В зависимости от периодичности решения функциональных задач и
максимально допустимой задержки получения результатов введены четыре
требуемых категории доступности информации.
«Беспрепятственная доступность» — доступ к задаче должен обеспечиваться
в любое время (задача решается постоянно, задержка получения результата не
должна превышать нескольких секунд или минут).
«Высокая доступность» — доступ должен осуществляться без существенных
задержек по времени (задача решается ежедневно, задержка получения результата
не должна превышать нескольких часов).
«Средняя доступность» — доступ может обеспечиваться с существенными
задержками по времени (задача решается раз в несколько дней, задержка
получения результата не должна превышать нескольких дней).
«Низкая доступность» — задержки по времени при доступе к задаче
практически не лимитированы (задача решается с периодом в несколько недель
или месяцев, допустимая задержка получения результата — несколько недель).
Для обеспечения уровнями безопасности различных видов аппаратных
ресурсов, используемых в компании, вводятся следующие категории.
Категории отказоустойчивости:
«Высшая» — к данной категории относятся критически важные аппаратные
средства, (Сервер СУБД и дисковые массивы, содержащие базу данных АБС,
20
сервер - контроллер домена, файловый сервер, сервера технологических процессов,
маршрутизаторы, коммутаторы, межсетевые экраны). К высшей категории
отказоустойчивости относятся также компьютеры с установленными средствами
криптографической защиты информации.
«Средняя» — к данной категории относятся рабочие станции пользователей.
Непрерывность технологических процессов обеспечивается наличием резервных
рабочих станций.
«Низшая» — к данной категории относятся концентраторы и офисная
техника.
Категории доступа:
«Строго ограниченный» — физический доступ к данной категории средств
вычислительной техники регламентируется приказами руководства Компании,
инструктивными и регламентирующими документами. К данной категории
относятся ЭВМ с установленными средствами криптографической защиты
информации, сервер СУБД и дисковые массивы, содержащие базу данных АБС,
сервер - контроллер домена, файловый сервер, сервера технологических процессов,
маршрутизаторы, коммутаторы, межсетевые экраны.
«Ограниченный» — к данной категории относятся рабочие станции
пользователей и средств вычислительной техники, доступ к которым
регламентируется должностными инструкциями сотрудников компании.
Каналы связи, используемые в технологических процессах, не
категорируются.
Перечень активов, подлежащих защите, приведен в таблице 1.2.
21
Таблица 1.1
Оценка информационных активов компании
Вид деятельности
Наименование
актива
Форма предоставления
актива
Владелец актива
Критерии
определения
стоимости
Качественная
оценка
Физические активы
Финансовая
деятельность
компании
Сведения о
денежных
средствах
Информация на
носителях и в линиях
связи, он-лайн-сервисах
Руководитель компании,
бухгалтер
Репутация
компании,
результаты
деятельности
высокая
Проектирование
строительных
объектов
Сметная
документация
Информация на
носителях и в линиях
связи
Руководитель компании,
сотрудники отдела по
работе с ценными
бумагами
Репутация
компании,
результаты
деятельности
имеющая
критическое
значение
Основная
деятельность
Сведения о
клиентах
компании
Информация на
носителях и в линиях
связи
Руководитель компании,
сотрудники отдела
комплексного
проектирования
Репутация
компании,
результаты
деятельности
высокая
Основная
деятельность
Сведения о
договорах с
заказчиками
Информация на
носителях и в линиях
связи
Руководитель компании,
сотрудники отдела
комплексного
проектирования
Репутация
компании,
результаты
деятельности
высокая
Основная
деятельность
Сведения о
финансовых
операциях
компании
Информация на
носителях и в линиях
связи
Руководитель компании,
сотрудники отдела
анализа
Репутация
компании,
результаты
деятельности
имеющая
критическое
значение
Основная
деятельность
Комплекты
проектной
документации
Информация на
носителях и в линиях
связи
Руководитель компании,
сотрудники отдела
главного инженера
Репутация
компании,
результаты
Высокая
22
Вид деятельности
Наименование
актива
Форма предоставления
актива
Владелец актива
Критерии
определения
стоимости
Качественная
оценка
деятельности
Основная
деятельность
Оценки сметной
стоимости
объектов
Информация на
носителях и в линиях
связи
Руководитель компании,
сотрудники отдела
главного инженера
Репутация
компании,
результаты
деятельности
Высокая
Активы программного обеспечения
ИТ-обеспечение
Серверное
оборудование
Программное
обеспечение
Руководитель, начальник
ИТ-отдела, пользователи
ИС
Репутация
компании,
результаты
деятельности
высокая
ИТ-обеспечение
АРМ
сотрудников
Программное и
аппаратное обеспечение
Руководитель, начальник
ИТ-отдела, пользователи
ИС
Репутация
компании,
результаты
деятельности
высокая
ИТ-обеспечение
СУБД
Совокупность файлов
Руководитель, начальник
ИТ-отдела, пользователи
ИС
Репутация
компании,
результаты
деятельности
средняя
ИТ-обеспечение
Сообщения,
передаваемые по
каналам связи
Электронные
сообщения
Руководитель, начальник
ИТ-отдела, пользователи
ИС
Репутация
компании,
результаты
деятельности
высокая
23
Перечень сведений конфиденциального характера компании приведен в
таблице 1.3.
Таблица 1.2
Перечень сведений конфиденциального характера компании
№
п/п
Наименование
сведений
Гриф
конфиденциально
сти
Нормативный документ,
реквизиты, №№ статей
1.
Сведения о
программном
обеспечении,
принципах построения,
структуре и составе
оборудования
корпоративной
информационной
системы компании
Конфиденциально
Указ Президента РФ от 6
марта 1997 года № 188, ФЗ РФ
от 29 июля 2004 г. N 98-ФЗ О
коммерческой тайне, ФЗ РФ от
27 июля 2006 г. N 149-ФЗ "Об
информации,информационных
технологиях и о защите
информации"
Указ Президента РФ от
06.03.1997 № 188 (ред. от
23.09.2005) «Об утверждении
Перечня сведений
конфиденциального
характера»
2.
Входящая и исходящая
корреспонденция (в том
числе в электронном
виде)
Для внутреннего
пользования
ФЗ РФ от 29 июля 2004 г. N
98-ФЗ О коммерческой тайне
3.
Персональная
информация о
сотрудниках
Строго
конфиденциально
З РФ от 27 июля 2006 г. N 152-
ФЗ "О персональных данных"
Указ Президента РФ от
06.03.1997 № 188 (ред. от
23.09.2005) «Об утверждении
Перечня сведений
конфиденциального
характера»;
4.
Бухгалтерские и
финансовые сведения, в
том числе документы по
установленным формам
отчетности о
финансово-
хозяйственной
деятельности
Для внутреннего
пользования
ФЗ РФ от 29 июля 2004 г. N
98-ФЗ О коммерческой тайне
Указ Президента РФ от
06.03.1997 № 188 (ред. от
23.09.2005) «Об утверждении
Перечня сведений
конфиденциального
характера»;
5.
Сведения,
раскрывающие систему
организации и
состояние сохранности
коммерческой тайны в
Строго
конфиденциально
ФЗ РФ от 27 июля 2006 г. N
149-ФЗ "Об информации,
информационных технологиях
и о защите информации", ФЗ
РФ от 29 июля 2004 г. N 98-ФЗ
24
№
п/п
Наименование
сведений
Гриф
конфиденциально
сти
Нормативный документ,
реквизиты, №№ статей
компании, методы и
способы защиты
конфиденциальной
информации от утечки,
утери или искажения
О коммерческой тайне
6.
Система организации и
разграничения доступа
в КИС, идентификаторы
и пароли, используемые
сотрудниками компании
для доступа к
информации
Строго
конфиденциально
ФЗ РФ от 27 июля 2006 г. N
149-ФЗ "Об информации,
информационных технологиях
и о защите информации"
7.
Сведения о сметной и
проектной
документации
Коммерческая
тайна
ФЗ РФ от 27 июля 2006 г. N
149-ФЗ "Об информации,
информационных технологиях
и о защите информации"
Указ Президента РФ от
06.03.1997 № 188 (ред. от
23.09.2005) «Об утверждении
Перечня сведений
конфиденциального
характера», ГК РФ, статья 139.
Федеральный закон "О
компаниих и банковской
деятельности" от 02.12.1990 N
395-1
8.
Сведения о финансовых
операциях компании
Строго
конфиденциально
ФЗ РФ от 27 июля 2006 г. N
149-ФЗ "Об информации,
информационных технологиях
и о защите информации"
Указ Президента РФ от
06.03.1997 № 188 (ред. от
23.09.2005) «Об утверждении
Перечня сведений
конфиденциального
характера», ГК РФ, статья 139
Активы, имеющие наибольшую ценность и поэтому выбранные в качестве
объекта защиты информации, приведены в таблице 1.4.
25
Таблица 1.3
Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
Сведения о структуре ИС и методах ее защиты
5
Персональные данные сотрудников и клиентов
5
Бухгалтерские и финансовые сведения
5
Сметная документация
4
Сведения о договорах с заказчиками
3
Комплекты проектной документации
3
Оценки сметной стоимости объектов
3
Система организации и разграничения доступа в КИС
3
Персональные данные клиентов
2
Серверное оборудование
2
АРМ сотрудников
1
СУБД
1
Сообщения, передаваемые по каналам связи
1
Таким образом, наиболее ценными активами при передаче информации
между филиалами являются:
Сведения о структуре ИС и методах ее защиты
Персональные данные сотрудников и клиентов
Бухгалтерские и финансовые сведения
Сметная документация
Сведения о договорах с заказчиками
Комплекты проектной документации
Оценки сметной стоимости объектов
Система организации и разграничения доступа в КИС
1.2.2 Оценка уязвимостей активов