Оглавление
Введение ......................................................................................................................... 3
1 Аналитическая часть .............................................................................................. 6
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения) .................................................. 6
1.1.1 Общая характеристика предметной области .......................................... 6
1.1.2 Организационно-функциональная структура предприятия.................. 8
1.2 Анализ рисков информационной безопасности ......................................... 14
1.2.1 Идентификация и оценка информационных активов .......................... 14
1.2.2 Оценка уязвимостей активов ................................................................. 21
1.2.3 Оценка угроз активам ............................................................................. 26
1.2.4 Оценка существующих и планируемых средств защиты ................... 38
1.2.5 Оценка рисков ......................................................................................... 47
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации на предприятии ....................................................................... 49
1.3.1 Выбор комплекса задач обеспечения информационной безопасности
49
1.3.2 Определение места проектируемого комплекса задач в комплексе
задач предприятия, детализация задач информационной безопасности и защиты
информации .................................................................................................................. 53
1.4 Выбор защитных мер ..................................................................................... 60
1.4.1 Выбор организационных мер ................................................................. 60
1.4.2 Выбор инженерно-технических мер ..................................................... 63
2 Проектная часть .................................................................................................... 73
2.1 Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия .................................................. 73
2.1.1 Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия ........................................................................................... 73
2
2.1.2 Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации предприятия
80
2.2 Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия ................... 89
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия .................................................. 89
2.2.2 Контрольный пример реализации проекта и его описание ................ 95
3 Обоснование экономической эффективности проекта ................................... 103
3.1 Выбор и обоснование методики расчета экономической эффективности
103
3.2 Расчет показателей экономической эффективности ................................ 107
Заключение ................................................................................................................. 116
Список использованных источников....................................................................... 119
3
Введение
В условиях современной информационной экономики соответствующим В
рамках современной информационной экономики должным образом
преобразуется содержание бизнес-процессов. Происходит изменение
приоритетности использования интеллектуальной части общего капитала
компаний, применение инновационных вариантов управления (матричное,
сетевое и др.), минимизация степени зависимости персонала от компании,
гибкость бизнес-схем, понимание роли ИТ в увеличении эффективности бизнес-
процессов и итоговых значений бизнеса. В связи с все перечисленным,
значительно поменялся и подход к выявлению конкурентных возможностей
компаний, к примеру, при проведении операций слияния-поглощения. Так, на
фондовых биржах опытные трейдеры, наряду с различной экономической
информацией, также теперь учитывают и сообщения о перемене информационной
составляющей торговых отношений. Это хорошо заметно в текущей работе и
экспертных заключениях многих известных консалтинговых компаний,
например, Gartner, Price Waterhоuse Coopers, Accenture и др. в рамках оценки
бизнеса и уровня автоматизации минимально прибыльных компаний (к примеру,
образовательные учреждения), оценке работы государственных структур и др.
До некоторого момента не появляется вопросов и об оценивании величины
риска, рост которого нужно рассматривать как обратную сторону по отношению
к автоматизации. Проблема также объясняется тем, что вопросы информационной
безопасности, зачастую решаются ИТ-специалистами, которые не могут в полном
объеме дать реального представления о последствиях для организации при
возникновении угрозы информационной безопасности. Менеджеры компании,
которые могут оценить реальные последствия угроз, зачастую обладают
неполными знаниями в области информационных технологий, что не дает им
полноценно оценить связанные с ними риски.
Поэтому в организации зачастую просто нет специалиста, который в силах
оценить реальные риски, связанные с применением информационных технологий,
но становится очевидно, что оценка риска необходима не только с точки зрения
4
защиты уже сложившейся инфраструктуры, но и для точной оценки дальнейшего
применения и развития ИТ.
Происходящее вокруг информационных ресурсов соперничество, борьба за
удержание и достижение некоторого информационного превосходства становятся
все более и более значимыми в геополитической конкуренции многих стран мира.
На сегодняшнем, новом этапе мировой истории, когда возможность активного
роста за счет обычного присоединения и присвоения новых ресурсов путем
вооруженных захватов территорий других стран стали неэффективными и
исчерпанными, возник вопрос о более качественных и приемлемых способах
геополитической конкуренции в новой информационной среде.
Становится понятным, что по мере глобализации информационной сферы
качество национальных систем безопасности очень часто становится решающим
фактором в вопросах политики любого субъекта геополитической борьбы. С
другой стороны, неэффективность подобной системы в области информационной
безопасности могут быть решающим фактором, приводящим к
крупномасштабной катастрофе или аварии, последствия которых могут вызвать
дезорганизацию текущего государственного управления, крах экономики или
финансовой системы и т.п.
Главная идея ИБ как социального явления заключается в том, чтобы
установить и реализовать различные морально-эстетические, нормативно-
правовые и организационные отношения между людьми, обеспечивающие баланс
человеческих интересов, а также интересов общества, государства в
информационной сфере.
До определенного момента не возникает вопросов и об оценке величины
риска, рост которого следует рассматривать как обратную сторону процесса
информатизации. Проблема усугубляется тем, что вопросы информационной
безопасности, обычно, отдаются на откуп специалистам по информационным
технологиям, которые часто не в состоянии определить реальные последствия для
организации угроз информационной безопасности. Менеджеры предприятия,
которые могли бы оценить реальные последствия угроз, часто имеют
недостаточно знаний в области информационных технологий, чтобы оценить
связанные с ними риски.
5
Таким образом, в организации часто не оказывается специалиста, который
мог бы оценить реальные риски, связанные с использованием информационных
технологий, хотя, очевидно, что оценка риска нужна не только с точки зрения
безопасности уже сложившейся инфраструктуры, но и для правильной оценки
перспектив использования и развития информационных технологий. Более того,
своевременную оценку риска следует рассматривать не только как функцию
управления ИС, но и как защиту организации в целом, ее способности выполнять
свои функции. Следовательно, процесс управления рисками следует
рассматривать не как техническую функцию, которую можно поручить
техническим специалистам, а как основную управляющую функцию организации.
Целью проекта является повышение уровня защищенности персональных
данных в компании ПАО «Газпром».
К задачам проекта отнесены:
Анализ информационной системы компании и применяющихся
средств защиты информации;
Идентификация информационных активов компании;
Определение уязвимостей выявленных информационных активов;
Оценка угроз активам;
Оценка средств повышения уровня информационной безопасности в
компании;
Выбор средств защиты информации и разработка порядка
применения их в компании;
Оценка экономической эффективности использования выбранных
средств.
6
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и
предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
ПАО «Газпром» — глобальная энергетическая компания. Основные
направления деятельности — геологоразведка, добыча, транспортировка,
хранение, переработка и реализация газа, газового конденсата и нефти,
реализация газа в качестве моторного топлива, а также производство и сбыт
тепло- и электроэнергии.
«Газпром» видит свою миссию в надежном, эффективном и
сбалансированном обеспечении потребителей природным газом, другими видами
энергоресурсов и продуктами их переработки.
Стратегической целью является становление ПАО «Газпром» как лидера
среди глобальных энергетических компаний посредством диверсификации
рынков сбыта, обеспечения надежности поставок, роста эффективности
деятельности, использования научно-технического потенциала.
Основные экономические показатели деятельности компании приведены в
таблице 1.1.
Таблица 1.1
Экономические показатели деятельности компании ПАО «Газпром»
2017 года
2016
года
2017
года
2016
года
(в млн руб.)
Выручка от продаж
1 431 662
1 256
992
4 641
596
4 321
364
Чистый доход (расход) по торговым
операциям с сырьевыми
товарами на ликвидных торговых площадках
Европы
5 918
41 630
(14 409)
71 159
Операционные расходы
(1 226
244)
(1 143
971)
(3 931
550)
(3 824
703)
Прибыль от продаж
211336
154 651
695 637
567 820
Финансовые доходы
102 305
115 996
338 349
816 264
Финансовые расходы
(78 710)
(132
100)
(318
337)
(499
487)
7
Доля чистой прибыли ассоциированных
организаций и
совместных предприятий
27 861
21 492
83 830
55 258
Прибыль от выбытия финансовых активов,
имеющихся в
наличии для продажи
347
814
397
1 835
Прибыль до налогообложения
263 139
160 853
799 876
941 690
Расходы по текущему налогу на прибыль
(47 657)
(28 730)
(130
819)
(134
515)
Расходы по отложенному налогу на прибыль
(7 911)
(20 137)
(53 432)
(69 784)
Налог на прибыль
(55 568)
(48 867)
(184
251)
(204
299)
Прибыль за период
207 571
111 986
615 625
737 391
Прочий совокупный доход (расход):
Расход, который не будет впоследствии
реклассифицирован в состав прибыли или
убытка:
Переоценка резерва по вознаграждениям
после окончания
трудовой деятельности
(44 515)
(13 821)
(58 751)
(92 446)
Итого расход, который не будет
впоследствии
реклассифицирован в состав прибыли или
убытка
(44 515)
(13 821)
(58 751)
(92 446)
Доход (расход), который впоследствии может
быть
реклассифицирован в состав прибыли или
убытка:
Прибыль (убыток) от изменений
справедливой стоимости
финансовых активов, имеющихся в наличии
для продажи,
за вычетом налога
7 138
13 487
(33 089)
34 293
Доля прочего совокупного дохода (расхода)
ассоциированных организаций и совместных
предприятий
356
(3 238)
2 481
(7 756)
Курсовые разницы
(1 372)
(14 770)
21 741
(201
260)
Прибыль (убыток) от операций хеджирования,
за вычетом
налога
799
1 742
(3 624)
41 277
Итого доход (расход), который может быть
впоследствии
реклассифицирован в состав прибыли или
убытка
6 921
(2 779)
(12 491)
(133
446)
Прочий совокупный расход за период, за
вычетом налога
(37 594)
(16 600)
(71 242)
(225
892)
Совокупный доход за период
169 977
95 386
544 383
511 499
Прибыль за период, относящаяся к:
Акционерам ПАО «Г азпром»
200 488
102 161
581 834
709 321
Неконтролирующей доле участия
7 083
9 825
33 791
28 070
8
207 571
111 986
615 625
737 391
Совокупный доход за период, относящийся
к:
Акционерам ПАО «Г азпром»
161 156
86 314
504 183
491 850
Неконтролирующей доле участия
8 821
9 072
40 200
19 649
169 977
95 386
544 383
511 499
Таким образом, экономические показатели деятельности фирмы
свидетельствуют о ее стабильном положении на рынке, что позволяет выделить
некоторые средства для обеспечения информационной безопасности.
1.1.2 Организационно-функциональная структура предприятия
ПАО «Газпром» имеет довольно сложную и разветвленную, но
стандартную для торговых предприятий организационную структуру управления,
которая в виде схемы представлена на рисунке 1.1.
Генеральный
директор
Директор по
персоналу
Директор по
развитию
Коммерческий
директор
Начальник отдела
закупок
Начальник отдела
продаж
Директор
магазина
Торговый
представитель
филиала
Начальник склада
магазина
Продавец
магазина
Директор по
логистике
Начальник
юридического
отдела
Финанансовый
директор
Директор по
безопасности
Отдел кадров Юрисконсульт
Отдел маркетинга
и рекламы
Служба
безопасности
Склад
Бухгалтерия
Отдел закупок Отдел продаж
Менеджеры
по
продажам
Рис. 1.1 Организационно-штатная структура управления ПАО «Газпром»
Работой предприятия руководит генеральный директор, в его подчинении
находятся следующие должностные лица:
коммерческий директор;
директор по логистике;
9
финансовый директор;
директор по персоналу;
начальник юридического отдела;
директор по развитию;
директор по безопасности.
Далее рассмотрим кратко обязанности основных должностных лиц ПАО
«Газпром».
Коммерческий директор выполняет следующие обязанности:
Осуществляет руководство финансово-хозяйственной
деятельностью предприятия в области материально-технического обеспечения,
сбыта продукции на рынке и по договорам поставки, транспортного и
административно-хозяйственного обслуживания, обеспечивая эффективное и
целевое использование материальных и финансовых ресурсов, снижение их
потерь, ускорение оборачиваемости оборотных средств.
Организует участие подчиненных ему служб и структурных
подразделений:
В составлении перспективных и текущих планов производства и
реализации продукции.
В определении долговременной стратегии коммерческой
деятельности и финансовых планов предприятия.
В разработке стандартов по материально-техническому обеспечению
качества продукции, организации хранения и транспортирования сырья, сбыту
готовой продукции.
Принимает меры по своевременному заключению хозяйственных и
финансовых договоров с поставщиками и потребителями сырья и продукции,
расширению прямых и длительных хозяйственных связей, обеспечивает
выполнение договорных обязательств по поставкам продукции (по количеству,
номенклатуре, ассортименту, качеству, срокам и другим условиям поставок).
Осуществляет контроль за:
Реализацией продукции.
Материально-техническим обеспечением предприятия.
Финансовыми и экономическими показателями деятельности
10
предприятия.
Расходованием оборотных средств и целевым использованием
банковского кредита.
Прекращением производства продукции, не имеющей сбыта.
Обеспечивает своевременную выплату заработной платы рабочим и
служащим.
Координирует работу отдела продаж.
Директор по логистике:
Управляет логистикой (обеспечивает составление логистических
прогнозов и планов; координирует проведение работ по проектированию
логистических систем и внедрению их на предприятии; рассчитывает затраты на
логистику, разрабатывает бюджет на логистику и обеспечивает его соблюдение;
организует работы по созданию и внедрению логистических информационных
систем.
Управляет материально-техническим снабжением и закупками;
координирует заключение договоров с поставщиками; принимает участие в
определении видов и сроков платежей по заключенным договорам; организует
взаимодействие с поставщиками; обеспечивает составление отчетов; анализирует
выполнение заказов и результаты поставок.
Управляет запасами, оценивает затраты и издержки на запасы;
проектирует и применяет системы управления запасами; моделирует схемы
управления запасами; разрабатывает методы учета, оценки и моделирования
запасов; координирует инвентаризацию запасов; контролирует состояние запасов.
Организует складскую деятельность; оптимизирует процессы
перемещения ресурсов и продукции внутри предприятия; разрабатывает
методические указания по организации складского учета.
Контролирует управление транспортировкой товаров из других
регионов РФ.
Управляет логистическим персоналом.
Финансовый директор:
Организует управление движением финансовых ресурсов
предприятия и регулирование финансовых отношений в целях наиболее