107
угрозы, выберем предполагаемое значение V
i
= 3 (30 000 руб.).
3) подставим значение в формулу:
R
i
= 10
(5 + 3 – 4)
R
i
=10 000 руб.
В итоге расчета определяем суммарную стоимость потерь:
Суммарная стоимость потерь определяется формулой
R=
где N – количество актуальных угроз информационным активам.
Рассчитаем суммарную величину потери для информационного актива «Пер-
сональные данные сотрудников ООО «Билеты онлайн» и других физических лиц,
предоставивших сведения о себе с условием их защиты». Результаты расчетов при-
ведены в таблице 16.
Таблица 16
Стоимость потерь
Перечень актуальных угроз
Частота
возникно-
вения
угрозы
Значение
ущерба
R
i
(стоимость
потерь) в руб-
лях
Кража носителей информации
3
3
100
Кража ключей и атрибутов доступа
4
5
100000
Действия вредоносных программ (ви-
русов)
5
3
10000
Установка ПО, не связанного с испол-
нением служебных обязанностей
4
2
100
Утрата ключей и атрибутов доступа
3
4
1000
Непреднамеренное отключение
средств защиты
4
2
100
Выход из строя аппаратно-программ-
ных средств
3
4
1000
Угроза «Анализ сетевого трафика» с
перехватом передаваемой из ИСПДн
и принимаемой из внешних сетей ин-
формации:
3
3
100
Угрозы сканирования, направленные
на выявление типа или типов исполь-
зуемых операционных систем, сете-
вых адресов рабочих станций ИСПДн,
топологии сети, открытых портов и
служб, открытых соединений и др.
5
4
100000
Угрозы выявления паролей по сети.
4
5
100000
N
i
Ri
1
108
Перечень актуальных угроз
Частота
возникно-
вения
угрозы
Значение
ущерба
R
i
(стоимость
потерь) в руб-
лях
Угрозы навязывание ложного марш-
рута сети.
3
4
1000
Угрозы подмены доверенного объекта
в сети.
3
4
1000
Угрозы внедрения ложного объекта
как в ИСПДн, так и во внешних сетях.
3
4
1000
Угрозы типа «Отказ в обслужива-
нии».
3
4
1000
Угрозы удалённого запуска приложе-
ний.
4
4
10000
Угрозы внедрения по сети вредонос-
ных программ.
4
5
100000
Суммарная стоимость потерь
426400
Суммарная стоимость потерь составит 426 400 рублей, что составляет вели-
чину потерь для информационного ресурса до модернизации системы защиты ин-
формации.
3.2 Расчёт показателей экономической эффективности проекта
Ресурсы, выделяемые на защиту информации, могут иметь разовый или по-
стоянный характер. Разовые ресурсы – это расходы на закупку, установку, настройку
техники и программного обеспечения. Постоянный ресурс - это расходы на заработ-
ную плату сотрудникам, оплату работ по поддержанию заданного уровня безопас-
ности. Общей форма представления ресурса является денежная мера.
Данные о содержании и объеме разового ресурса, выделяемого на защиту пер-
сональных данных представлены в таблице 17.
109
Таблица 17
Содержание и объем разового ресурса, выделяемого на защиту персональ-
ных данных.
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасо-
вая зарплата
специалиста
(руб.)
Трудоем-
кость
операции
(чел.час)
Стои-
мость,
всего
(руб.)
1
Установка и настройка Secret Net
Studio 8 на 11 объектах
250
22
5500
2
Установка и первичная настройка
АПКШ «Континент» 3.7
250
12
3000
3
Настройка правил прохождения
трафика и другая тонкая настройка
АПКШ «Континент» 3.7
250
40
10000
4
Установка и настройка Континент
АП на 2 объектах
250
2
500
5
Разработка комплекта организаци-
онной документации по защите
персональных данных
250
80
20000
Стоимость проведения организационных мероприятий, всего
39000
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура ПиАСИБ, расход-
ных материалов
Стоимость,
единицы
(руб)
Кол-во
(шт.)
Стои-
мость,
всего
(руб.)
1
Право на использование комплекта
"Оптимальная защита" Средства
защиты информации Secret Net
Studio 8
10250
11
112750
2
Установочный комплект. Secret Net
Studio 8
275
1
275
3
АПКШ «Континент» 3.7. ЦУС -
Сервер Доступа. Платформа IPC-
25. СКЗИ КС3. Inc. TS Basic lvl
160741
1
160741
4
Монтажный комплект для плат-
форм АПКШ "Континент" IPC-25
5750
1
5750
5
Право на использование Континент
АП (1 дополнительное подключе-
ние пользователя Континент АП к
СД). Inc. TS Basic lvl
5800
2
11600
110
6
Установочный комплект. СКЗИ
«Континент-АП» версия 3.7. СКЗИ
КС2.
275
1
275
Стоимость проведения мероприятий инженерно-технической за-
щиты
291391
Объем разового ресурса, выделяемого на защиту информации
330391
Таблица 18
Содержание и объем постоянного ресурса, выделяемого на защиту персо-
нальных данных.
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасо-
вая зарплата
специалиста
(руб.)
Трудоем-
кость опера-
ции
(чел.час)
Стои-
мость,
всего
(руб.)
1
Заработная плата ответственного
за защиту персональных данных (с
условием совмещения должности)
250
480
120000
2
Обучение персонала (повышение
квалификации), на 9 сотрудников
250
900
225000
3
Поддержание в актуальном состоя-
нии организационной документа-
ции, оценка эффективности прини-
маемых мер защиты и т.д.
250
12
3000
Стоимость проведения организационных мероприятий, всего
348000
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура ПиАСИБ, расход-
ных материалов
Стоимость,
единицы
(руб.)
Кол-во (шт.)
Стои-
мость,
всего
(руб.)
1
Ключи электронной подписи
1500
2
3000
Стоимость проведения мероприятий инженерно-технической защиты
3000
Объем постоянного ресурса, выделяемого на защиту информации
351000
Суммарное значение ресурса, выделяемого на защиту персональных данных,
составляет 681 391 рублей.
Проведем расчет времени окупаемости внедряемой системы защиты персо-
нальных данных, выполненный аналитическим и графическим способом. Для этого
необходимо получить прогнозируемые данные о величине потерь после модерниза-
ции системы защиты информации, данные отражены в таблице 19.
111
Таблица 19
Величины потерь после модернизации системы защиты информации
Перечень актуальных угроз
Частота возник-
новения угрозы
Значение
ущерба
R
i
(стои-
мость по-
терь)
Кража носителей информации
3
3
100
Кража ключей и атрибутов доступа
3
5
10000
Действия вредоносных программ
(вирусов)
0
3
0,1
Установка ПО, не связанного с ис-
полнением служебных обязанностей
2
2
1
Утрата ключей и атрибутов доступа
3
4
1000
Непреднамеренное отключение
средств защиты
2
2
1
Выход из строя аппаратно-про-
граммных средств
3
4
1000
Угроза «Анализ сетевого трафика» с
перехватом передаваемой из ИСПДн
и принимаемой из внешних сетей ин-
формации:
0
3
0,1
Угрозы сканирования, направленные
на выявление типа или типов ис-
пользуемых операционных систем,
сетевых адресов рабочих станций
ИСПДн, топологии сети, открытых
портов и служб, открытых соедине-
ний и др.
0
4
1
Угрозы выявления паролей по сети.
0
5
10
Угрозы навязывание ложного марш-
рута сети.
0
4
1
Угрозы подмены доверенного объ-
екта в сети.
0
4
1
Угрозы внедрения ложного объекта
как в ИСПДн, так и во внешних се-
тях.
0
4
1
Угрозы типа «Отказ в обслужива-
нии».
2
4
100
Угрозы удалённого запуска прило-
жений.
0
4
1
Угрозы внедрения по сети вредонос-
ных программ.
0
5
10
Суммарная величина потерь
12 227,2
112
Суммарная величина потерь составит 12 227,2 рубля.
Проведем оценку динамики величин потерь за период не менее 1 года, данные
отразим в таблице 20.
Таблица 20
Оценка динамики величин потерь
1 кв.
2 кв.
3 кв.
1 год
1 кв.
2 кв.
3 кв.
2 год
До внедрения
СЗИ
106600
213200
319800
426400
533000
639600
746200
852800
После внедре-
ния СЗИ
3056,8
6113,6
9170,4
12227,2
15284
18340,8
21397,6
24454,4
Снижение по-
терь
103543
207086
310630
414173
517716
621259
724802
828346
Рассчитаем срок окупаемости системы (Т
ок
) с помощью формулы:
Т
ок
= R
∑
/ (R
ср
– R
прогн
)
Т
ок
= 681 391 / (426400 - 12227,2) = 1,64
Динамика потерь в графическом виде отражена на рисунке 3.1
Рис. 3.1 Динамика потерь
113
Таким образом, окупаться внедряемая система защиты персональных данных
будет достаточно долго – срок окупаемости примерно второй-третий квартал вто-
рого года после внедрения системы защиты (1,64 года).
114
Заключение
Данная дипломная работа посвящена защите персональных данных в ООО
«Билеты онлайн». Был проведен большой комплекс мероприятий:
изучение технологического процесса обработки и хранения персональ-
ных данных;
определение актуальных угроз персональных данных;
определение состава используемых средств вычислительной техники –
программных и технических;
проверка состояния организации работ и выполнения организационно-
технических требований по защите персональных данных;
разработка организационных документов по защите персональных дан-
ных;
выбор и внедрение технических средств защиты информации;
оценка экономической эффективности проекта, сроки окупаемости.
В своей работе в качестве технических решений я использовала продукты
ООО «Код безопасности», имеющие все необходимые сертификаты соответствия.
Модель аппаратно-программного комплекса «Континент» была выбрана с
учетом небольшого роста организации в ближайшем будущем. Сейчас удаленно
подключаются два сотрудника, а комплекс поддерживает до 25 одновременных под-
ключений, что означает возможности роста числа удаленных сотрудников. Потре-
буется только приобрести недорогие лицензии на подключение удаленных клиентов
и ключи электронной подписи.
Примененное комплексное средство защиты рабочих станций и серверов
Secret Net Studio так же было выбрано не случайно. Больше нет необходимости
управления и мониторинга разношерстных систем защиты, таких как антивирус,
межсетевой экран, средство защиты от несанкционированного доступа – всё объеди-
нено в один продукт. Лицензия на этот продукт набирается из нужных компонентов
и с необходимым сроком действия. Я выбрала лицензии на 3 года, потому что счи-
таю, что нет смысла брать бессрочные лицензии на какие-либо системы защиты в
связи с изменчивостью требований регуляторов и быстрым развитием рынка инфор-
мационных технологий. Масштабирование установленной системы защиты рабочих
115
станций и серверов в случае необходимости будет производиться путем покупки но-
вых лицензий.
Следует отметить, что работы по защите персональных данных на объекте за-
вершенными считать нельзя. Необходимо провести обучение по вопросам защиты
персональных данных среди персонала, довести до конкретных исполнителей содер-
жание руководящих документов и инструкций, после чего проверить уровень владе-
ния персоналом технологией безопасной обработки персональных данных, описан-
ной в этих инструкциях. Обучение по работе с установленными техническими сред-
ствами защиты так же не было проведено.
В небольших организациях часто возникает такая ситуация, что проводить
обучение сотрудников некому, но нужно обратить внимание на то, что организации
предоставляющие услуги по организации защиты конфиденциальной информации,
часто проводят бесплатные семинары и тренинги по вопросам защиты информации,
в том числе и персональных данных. Такие семинары направлены на аудиторию,
которой в будущем можно предложить свои услуги, но никто не запрещает посетить
мероприятие для образовательных целей, так сказать для общего развития. После
прослушивания материала курса изучение нормативных актов и внутренних ин-
струкций должно пройти легче. Обучение работы с техническими средствами может
облегчить предварительный просмотр вебинаров, которые часто проводят разработ-
чики этих самых технических средств.
В соответствии с пунктом 4 части 2 статьи 19 Федерального закона от 27 июля
2006 г. № 152-ФЗ «О персональных данных» обеспечение безопасности персональ-
ных данных достигается в частности оценкой эффективности принимаемых мер по
обеспечению безопасности персональных данных до ввода в эксплуатацию инфор-
мационной системы персональных данных. Эти работы должны стать завершающим
этапом в создании системы защиты персональных данных. Составом и содержанием
мер, утвержденными приказом ФСТЭК России от 18 февраля 2013 г. № 21, форма
оценки эффективности, а также форма и содержание документов, разрабатываемых
по результатам (в процессе) оценки, не установлены. Таким образом, решение по
форме оценки эффективности принимается оператором самостоятельно. Для этих
целей возможно привлечь организацию – лицензиата ФСТЭК по технической за-
щите конфиденциальной информации. Но на мой взгляд, расходы по привлечению
116
специализированной организации в этом случае ни к чему, ведь оператором уста-
новлен самый низкий уровень защищенности персональных данных – четвертый.
Рассчитанный мной срок окупаемости внедряемой системы защиты очень
большой – более полутора лет. Не смотря на такие показатели, работы по защите
персональных данных должны быть произведены в обязательном порядке в связи с
действующими санкциями контролирующих органов. Штрафы за несоблюдение
требований законодательства небольшие – до 75 тысяч рублей, но исполнение пред-
писаний, выписанных проверяющими, обязательно, и наказание за неисполнение,
правда, в худшем случае, может достигнуть приостановки деятельности юридиче-
ского лица.