17
Оглавление
Введение ............................................................. Ошибка! Закладка не определена.
I Аналитическая часть ................................................................................................. 22
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения). ........................................... 22
1.1.1. Общая характеристика предметной области. ............................................. 22
1.1.2. Организационно-функциональная структура предприятия. .................... 25
1.2. Анализ рисков информационной безопасности ............................................ 26
1.2.1 Идентификация и оценка информационных активов. ................................ 26
1.2.2. Оценка уязвимостей и угроз активам. ........................................................ 36
1.2.2.3 Определение типов угроз ........................................................................... 37
1.2.2.4 Модель угроз безопасности персональных данных при их обработке в
ИСПДн ...................................................................................................................... 39
1.2.3. Оценка существующих и планируемых средств защиты. ........................ 62
1.2.4. Оценка рисков. .............................................................................................. 73
1.3. Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ................................................................... 75
1.3.1. Выбор комплекса задач обеспечения информационной безопасности. .. 75
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации. ............................................................................................................. 76
1.4. Выбор защитных мер ....................................................................................... 77
1.4.1. Выбор организационных мер. ...................................................................... 77
1.4.2. Выбор инженерно-технических мер. .......................................................... 78
II Проектная часть ....................................................................................................... 82
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия. ............................................. 82
18
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия. ............................................................................................................ 82
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации
предприятия. ............................................................................................................ 83
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия. ............................................. 85
2.2.1.1 Secret Net Studio ........................................................................................... 85
2.2.1.2 АПКШ «Континент» ................................................................................... 93
2.2.2. Контрольный пример реализации проекта и его описание. ..................... 96
III Обоснование экономической эффективности проекта ................................ 106
3.1 Выбор и обоснование методики расчёта экономической эффективности 106
3.2 Расчёт показателей экономической эффективности проекта ..................... 108
Заключение ................................................................................................................. 114
Список литературы .................................................................................................... 117
Перечень сокращений ............................................................................................... 119
Приложение № 1 ........................................................................................................ 120
Приложение № 2 ........................................................................................................ 135
19
Введение
Актуальность задачи защиты информации, обрабатываемой в информаци-
онных системах, в настоящее время не вызывает никаких сомнений. Всё чаще
приходится слышать об атаках как хакеров-одиночек, так и преступных групп, что
наглядно доказывает то, что современная информационная система должна быть
надежно защищена от вторжений извне.
Немного особняком здесь стоит информация, обязанность защищать кото-
рую возложена законодательно на оператора. Ограничение доступа к информации
устанавливается нормативно-правовыми актами в целях защиты конституцион-
ных прав граждан, здоровья, нравственности, прав и законных интересов физиче-
ских лиц, обеспечения обороны и безопасности государства. К такой информации,
согласно положениям Федерального закона от 27 июля 2006 года № 152-ФЗ «О
персональных данных», относятся персональные данные. [1]
Любая организация в результате своей деятельности сталкивается с необ-
ходимостью обработки персональных данных (далее- ПДн). К персональным дан-
ным относится любая информация, относящаяся к прямо или косвенно опреде-
ленному, или определяемому физическому лицу (субъекту персональных дан-
ных). Кадровый учет, выплата зарплаты работникам, ведение базы клиентов - фи-
зических лиц, заключение договоров с такими клиентами – ведение такой деятель-
ности приводит к созданию информационных систем персональных данных (да-
лее – ИСПДн). Согласно статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ
«О персональных данных», обработка персональных данных - любое действие
(операция) или совокупность действий (операций), совершаемых с использова-
нием средств автоматизации или без использования таких средств с персональ-
ными данными, включая сбор, систематизацию, использование, накопление, хра-
нение, запись, уточнение (обновление, изменение), извлечение, передачу (распро-
странение, предоставление, доступ), обезличивание, блокирование, удаление,
уничтожение персональных данных. Таким образом, при нормальной организа-
ции деятельности типового предприятия избежать обработки персональных дан-
ных не получится, значит и избежать обязанности защищать обрабатываемые дан-
ные практически невозможно.
20
В ООО «Билеты онлайн» ведётся обработка персональных данных работников
и клиентов, в связи с этим возникает обязанность принятия защитных мер по тре-
бованиям стандартов, руководящих и нормативно-методических документов по за-
щите персональных данных, действующих на территории Российской Федерации.
[2] Принятие этих мер является одним из этапов процесса обеспечения информа-
ционной безопасности в организации. При проведении испытаний ИСПДн на со-
ответствие требованиям по безопасности персональных данных должны быть
учтены требования следующих руководящих и нормативно-методических доку-
ментов:
Приказ ФСТЭК РФ от 18 февраля 2013 № 21 «Об утверждении состава и
содержания организационных и технических мер по обеспечению без-
опасности персональных данных при их обработке в информационных
системах персональных данных»;
Федеральный закон Российской Федерации от 27 июля 2006 № 152-ФЗ
«О персональных данных»;
Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации,
информационных технологиях и о защите информации».
Целью моей дипломной работы является приведение системы защиты пер-
сональных данных ООО «Билеты онлайн» в соответствие требованиям руководя-
щих и нормативно-методических документов, приведенных выше.
В рамках работы над дипломным проектом планируется провести меропри-
ятия по изучению технологического процесса обработки и хранения персональных
данных, анализ информационных потоков, определение состава использованных
для обработки персональных данных технических и программных средств. После
этого провести проверку состояния организации работ и выполнения организаци-
онно-технических требований по защите персональных данных, оценку правиль-
ности определения уровней защищенности, оценку уровня разработки организа-
ционно-распорядительной, проектной и эксплуатационной документации, оценку
уровня подготовки кадров и распределения ответственности между сотрудниками
за выполнение требований по обеспечению безопасности персональных данных. В
соответствии с Требованиями к защите персональных данных при их обработке в
21
информационных системах персональных данных, утвержденными постановле-
нием Правительства Российской Федерации от 1 ноября 2012 г. № 1119, должны
быть приняты меры по обеспечению безопасности ПДн, которые реализуются в
рамках системы защиты персональных данных. Они должны быть направлены на
нейтрализацию актуальных угроз безопасности ПДн.[5]
22
I Аналитическая часть
1.1. Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1. Общая характеристика предметной области
В настоящее время на рынке услуг большой популярностью пользуются
услуги билетных операторов, позволяющих приобрести электронные билеты на
интересующие клиентов мероприятия через Интернет. Сайтов, ориентированных
на продажу билетов, оформленных в виде уже ставших привычными интернет-
магазинов и в виде сайтов-афиш, великое множество. Крупные учреждения,
например, сетевые кинотеатры, как правило, имеют свои собственные интернет-
сервисы для распространения билетов, но для небольших театров, филармоний и
дворцов культуры сотрудничество с билетными операторами стало необходимо-
стью.
Главный проект «Билеты онлайн» - современная и удобная информацион-
ная система, предназначенная для автоматизации ведения билетного хозяйства, а
также для бронирования и продажи билетов на культурно-массовые мероприятия
посредством сети Интернет. При работе с клиентами ООО «Билеты онлайн» ре-
шает задачу не только качественным образом и в надлежащие сроки выполнить
взятые на себя обязательства, но и обеспечить необходимый уровень сохранения
коммерческой тайны, в том числе информации, подлежащей защите в соответ-
ствии с требованиями законодательства Российской Федерации, что требует вы-
полнения ряда соответствующих мероприятий.
Основной сайт, на котором пользователь выбирает и покупает билеты нахо-
дится на арендуемом выделенном сервере в Датацентре, назовем его «основной
сервер проекта», а сайт «основной сайт». Личный кабинет учреждения культуры,
при необходимости его наличия, располагается на выделенном сервере в сервер-
ном помещении ООО «Билеты онлайн», назовем его «web-сервер». Через личный
кабинет учреждения кассир имеет возможность завести афишу – странички меро-
приятий, данные клиентов, отметить проданные билеты.
Пользователи системы при регистрации на основном сервере проекта вво-
дят только логин, электронную почту и пароль. На Web-сервер в контролируемой
зоне заходят только кассиры.
23
ООО «Билеты онлайн» использует две схемы продажи билетов:
1. Система «Билеты онлайн» работает как агент учреждения культуры, то
есть выделяется часть билетов из зала, например, 2-5 ряды (или какой-то сектор),
и они одновременно снимаются с продажи в кассе. Эти билеты выставляются на
продажу через систему. Клиенты в режиме «онлайн» покупают билеты только из
выделенной области зала. Одновременно, в кассе в режиме «оффлайн» можно ку-
пить билеты из других частей зала». Какие-то части зала могут быть отданы дру-
гим агентам. При применении такой схемы продажи билетов взаимодействия с
web-сервером у кассиров учреждения нет. Мероприятия заносит один из програм-
мистов ООО «Билеты онлайн» по предоставленной учреждением информации.
2. Система «Билеты онлайн» полностью автоматизирует билетное хозяй-
ство учреждения культуры. В этом случае кассир подключается к личному каби-
нету учреждения – заходит на внутренний сайт, который располагается на web-
сервере. В личном кабинете осуществляется продажа билетов – одновременно и
«онлайн» и «оффлайн». То есть, при продаже билета в кассе кассир формирует
сами билеты уже в системе и они отмечаются проданными в реальном времени.
Клиентам сайта доступен весь зал за исключением уже проданных или онлайн,
или «оффлайн» билетов.
При применении второй схемы работы с полной автоматизацией билетного
хозяйства, в связи с особенностями работы, кассирам в некоторых случаях требу-
ется вносить персональные данные клиента. Примером таких случаев может быть:
льгота пенсионерам или инвалидам, школам, детским садам. Данные вносятся
только при личном обращении.
Процесс продаж в обоих схемах «онлайн продаж» осуществляется следую-
щим образом: клиент посредством основного сайта проекта «Билеты онлайн» вы-
бирает желаемые билеты на мероприятие и осуществляет их покупку через под-
ключенные платежные системы ПАО «Сбербанк» и ООО НКО «Яндекс.Деньги».
После успешной оплаты клиент получает электронный билет на мероприятие.
Платежная система ежедневно переводит поступившие от клиентов деньги за вы-
четом оговоренного в договоре процента на расчетный счет ООО «Билеты он-
лайн». На основании условий, устанавливаемых индивидуальным договором с
каждым учреждением культуры, после окончания отчетного периода (например,
24
5 дней после каждого мероприятия, ежемесячно, еженедельно), поступившие от
клиентов деньги за вычетом процента, так же установленного договором с учре-
ждением (15%, 20%), переводятся на расчетный счет учреждения культуры. Ос-
новные показатели эффективности продажи электронных билетов за последние
три года сведены в таблицу 1.
Таблица 1
Основные показатели эффективности продажи электронных билетов
№
п\п
Наименование характе-
ристики (показателя)
Значение по-
казателя за
2015 год
Значение по-
казателя за
2016 год
Значение по-
казателя за
2017 год
1
Объем проданных элек-
тронных билетов, тыс.
штук
46,3872
63,7824
72,96
2
Посещаемость основ-
ного сайта проекта, че-
ловек
9277
12756
14592
3
Количество зарегистри-
рованных клиентов, че-
ловек
6494
7781
8172
Проанализировав приведенную выше информацию, проведем оценку пока-
зателей эффективности проекта «Билеты онлайн» за три последних года. Из дан-
ных таблицы 1 следует, что объемы продаж электронных билетов растут. В 2016
году продано на 37,5% больше электронных билетов, чем в 2015 году, а в 2017
году продано на 57,3% больше билетов, чем в 2015 году. На такой резкий рост
продаж повлияло расширение рынка услуг и, как следствие, подключение новых
учреждений культуры, в том числе и кинотеатров. Так же огромное влияние ока-
зало расширение функционала системы «Билеты онлайн» и частая смена дизайна
веб-интерфейса для того чтобы быть «в тренде».
25
1.1.2. Организационно-функциональная структура предприятия
Организационная структура предприятия представлена на рисунке 1.1. От-
ветственность и полномочия всех работников, определены в должностных и ра-
бочих инструкциях, которые регламентируют:
- ответственность;
- полномочия;
- линии взаимодействия.
Генеральный
директор
Заместитель
генерального
директора
Начальник
информационного
отдела
Главный
бухгалтер
Ведущий разработчик
программного
обеспечения
БухгалтерияПрограммисты
Системные
администраторы
Отдел кадров
Рис. 1.1 Организационная структура предприятия
Общее руководство научно-исследовательской, опытно-конструкторской,
инновационной и другой уставной деятельностью предприятия осуществляет Ге-
неральный директор, который является руководителем всех работ.
Генеральный директор возглавляет разработку Политики в области без-
опасности информации и осуществляет делегирование различных видов полно-
мочий и ответственности в этой области.
Организацию эффективного функционирования предприятия обеспечивает
заместитель генерального директора. Этот специалист независим от производ-
ства. Он несет ответственность, имеет полномочия, организационную свободу,
для того, чтобы:
- идентифицировать проблемы;
- инициировать действие, которое закончится решением проблемы;
- проверить реализацию решений, которые были определены;
26
- контролировать процесс прохождения запросов о несоответствиях
пока несоответствие не будет устранено.
Так же заместитель генерального директора несет ответственность за фор-
мирование и реализацию технической политики на предприятии, состояние и раз-
витие технико-технологической базы и ее соответствие текущим и перспектив-
ным потребностям предприятия.
Ответственность за организацию эффективной деятельности по закреплен-
ным направлениям возложена на руководителей соответствующих служб и глав-
ных специалистов. Каждый руководитель имеет право делегировать исполнение
некоторых его обязанностей квалифицированным работникам, которые ему под-
чиняются, однако ответственность за принятие решения не может быть делегиро-
вана. Каждый руководитель может исполнять обязанности работников, которые
ему подчиняются, при условии, что он имеет соответствующую для этого квали-
фикацию.
Помимо сотрудников в работе принимают участие не штатные сотрудники
– кассиры.
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Под информационным активом понимается информация, вне зависимости
от вида представления информации, имеющая ценность для организации и нахо-
дящаяся в её распоряжении.
В автоматизированных информационных системах ООО «Билеты онлайн»
обрабатывается масса информации, относящейся к информации, доступ к которой
ограничен, представляющей определенную ценность для организации:
- внутренний сайт проекта «Билеты онлайн», и если быть точнее сайт,
размещенный на web-сервере, в понятие которого входит не только
веб-интерфейс системы, но и программный код, базы данных меро-
приятий, медиа файлы;
- персональные данные сотрудников и клиентов;
- основной сайт проекта «Билеты онлайн», на котором содержатся
афиши мероприятий и осуществляется продажа билетов;