K004067 Дипломная работа Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения)

СОДЕРЖАНИЕ

ВВЕДЕНИЕ 3

1 ОБОСНОВАНИЕ УСОВЕРШЕНСТВОВАНИЯ ЗАЩИТНЫХ МЕР 5

1.1 Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения) 5

1.1.1 Общая характеристика предметной области 5

1.1.2 Организационно-функциональная структура предприятия 6

1.2 Анализ рисков информационной безопасности 12

1.2.1 Идентификация и оценка информационных активов 12

1.2.2 Оценка уязвимостей активов 22

1.2.3 Оценка угроз активам 30

1.2.4 Оценка существующих и планируемых средств защиты 39

1.2.5 Оценка рисков 45

1.3 Характеристика комплекса задач, задачи и обоснование необходимости совершенствования системы обеспечения информационной безопасности и защиты информации на предприятии 49

1.3.1 Выбор комплекса задач обеспечения информационной безопасности 49

1.3.2 Определение места проектируемого комплекса задач в комплексе задач предприятия, детализация задач информационной безопасности и защиты информации 50

1.4 Выбор защитных мер 52

1.4.1 Выбор организационных мер 52

1.4.2 Выбор инженерно-технических мер 56

2 ПРОЕКТНАЯ ЧАСТЬ 63

2.1 Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия 63

2.1.1 Отечественная и международная нормативно-правовая основа создания системы обеспечения информационной безопасности и защиты информации предприятия 63

2.1.2 Организационно-административная основа создания системы обеспечения информационной безопасности и защиты информации предприятия 71

2.2 Комплекс проектируемых программно-аппаратных средств обеспечения информационной безопасности и защиты информации предприятия 73

2.2.1 Структура программно-аппаратного комплекса информационной безопасности и защиты информации предприятия 74

2.2.2 Контрольный пример реализации проекта и его описание 80

3 РАЗРАБОТКА БИЗНЕС-ПЛАНА 92

3.1 Выбор и обоснование методики расчёта экономической эффективности 92

3.2 Расчёт показателей экономической эффективности проекта 90

4 ОХРАНА ТРУДА (Требования к серверному помещению) 95

ВЫВОДЫ И ЗАКЛЮЧЕНИЯ 98

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ 101

ПРИЛОЖЕНИЕ 1. Общие положения политики информационной безопасности 104

ПРИЛОЖЕНИЕ 2. Инструкция по организации антивирусной защиты 110

ПРИЛОЖЕНИЕ 3. Инструкция пользователя ИС по сохранению информационной безопасности 123

ВВЕДЕНИЕ

В условиях современной информационной экономики соответствующим образом изменяется содержание бизнес-процессов. Наблюдается приоритетность использования интеллектуальной части совокупного капитала компаний, внедрение инновационных форм управления (матричное, сетевое и др.), уменьшение степени привязанности персонала к компании, гибкость бизнес-схем, осознание роли информационных технологий в повышении эффективности бизнес-процессов и результата бизнеса. В связи с изложенным, существенно изменился и подход к оценке конкурентоспособности компаний, например в процессах слияния-поглощения. Так, на фондовых биржах квалифицированные трейдеры, наряду с различного рода экономической информацией, стали учитывать и сообщения об изменениях информационной составляющей бизнеса. Прежде всего это проявилось в текущей работе и экспертных заключениях таких признанных консалтинговых компаний как Gartner, Price Waterhоuse Coopers, Accenture и др. при оценке бизнеса и уровня автоматизации слабо прибыльных организаций (таких, например, как образовательные учреждения), оценке возможностей государственных структур и др.

До определенного момента не возникает вопросов и об оценке величины риска, рост которого следует рассматривать как обратную сторону процесса информатизации. Проблема усугубляется тем, что вопросы информационной безопасности, обычно, отдаются на откуп специалистам по информационным технологиям, которые часто не в состоянии определить реальные последствия для организации угроз информационной безопасности. Менеджеры предприятия, которые могли бы оценить реальные последствия угроз, часто имеют недостаточно знаний в области информационных технологий, чтобы оценить связанные с ними риски.

Таким образом, в организации часто не оказывается специалиста, который мог бы оценить реальные риски, связанные с использованием информационных технологий, хотя, очевидно, что оценка риска нужна не только с точки зрения безопасности уже сложившейся инфраструктуры, но и для правильной оценки перспектив использования и развития информационных технологий. Более того, своевременную оценку риска следует рассматривать не только как функцию управления ИС, но и как защиту организации в целом, ее способности выполнять свои функции. Следовательно, процесс управления рисками следует рассматривать не как техническую функцию, которую можно поручить техническим специалистам, а как основную управляющую функцию организации.

Целью проекта является повышение уровня защищенности системы информационной безопасности в ООО «НУКЛЕТЕХ».

1 ОБОСНОВАНИЕ УСОВЕРШЕНСТВОВАНИЯ ЗАЩИТНЫХ МЕР

1.1 Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения)

1.1.1  Общая характеристика предметной области

В дипломной работе рассматривается деятельность компании ООО «НУКЛЕТЕХ».

Данная компания осуществляет свою деятельность в рамках правого поля Российской Федерации и является разработчиком и производителем технических средств доступа, таких как турникеты, механические и электромеханические калитки и ограждения, а также системы блокировки проезда автотранспорта. Основными потребителями услуг компании являются магазины и супермаркеты, а также места парковок и проезда автотранспорта.

Финансовые результаты ООО «НУКЛЕТЕХ» по данным управленческой отчетности указаны в таблице 1.1

Таблица 1.1

Финансовые результаты ООО «НУКЛЕТЕХ» по данным управленческой отчетности

Наименование показателя Значение показателя на 31.12.2012 г.

Производительность труда, тыс. руб./ чел. 5 871,93

Отношение размера задолженности к собственному капиталу 3,67

Отношение размера долгосрочной задолженности к сумме долгосрочной задолженности и собственного капитала 0,028

Степень покрытия долгов текущими доходами (прибылью) 4,86

Норма чистой прибыли, % 4,05%

Коэффициент оборачиваемости активов, раз 2,02

Рентабельность активов, % 8,19%

Рентабельность    собственного капитала,% 38,25%

Сумма нераспределенной прибыли (непокрытого убытка) на отчетную дату, тыс.руб. 228 033

Запасы, тыс. руб. 85 796

НДС по приобретенным ценностям, тыс. руб. 2 999

Дебиторская задолженность, тыс. руб. 434 391

Финансовые вложения, тыс. руб. 0

Денежные средства и денежные эквиваленты, тыс. руб. 169

1.1.2  Организационно-функциональная структура предприятия

Организационную структуру ООО «НУКЛЕТЕХ» можно представить в виде следующей схемы (Рис. 1.1).

Рис. 1.1 Организационно-штатная структура  ООО «НУКЛЕТЕХ»

Деятельностью предприятия руководит генеральный директор.

Отдел дистрибьюции работает в следующих направлениях:

• сбор и анализ информации о профильном  рынке (информация о клиентах, конкурентах, поставщиках и др.);

• поиск клиентов;

• проведение переговоров с клиентами;

• оформление и заключение контрактов;

• подготовка тендерной документации, участие в тендерах;

• развитие отношений с клиентами;

• получение рекомендаций от клиентов;

• ведение внутренней отчетности и документации;

• продвижение услуг компании (реклама и PR);

• формирование рекламного бюджета.

К функциям отдела отнесены:

• увеличение стоимости и рентабельности заключенных контрактов;

• рост числа крупных заказов;

• расширение и сохранение клиентской базы;

• формирование личных и доверительных отношений с клиентами;

• расширение известности компании;

• создание имиджа компании как надежного делового партнера;

• качественная подготовка документов;

• развитие личностных и профессиональных компетенций работников отдела.

К функциям финансовой службы относят:

• осуществление единой политики предприятия в области финансов . Разработка финансовой стратегии предприятия и базы для его финансовой устойчивости.

• Составление проектов перспективных и текущих финансовых планов, с приложением всех необходимых расчетов.

• Участие в разработке предложений, направленных на:

• - обеспечение платежеспособности;

• - предупреждение образования и ликвидацию неиспользуемых товарно-материальных ценностей, сверхнормативных запасов;

• - повышение рентабельности производства;

• - увеличение прибыли;

• снижение издержек на производство и реализацию продукции.

• Осуществление мероприятий по укреплению финансовой дисциплины на предприятии.

• Составление и предоставление руководству предприятия:

•  сведений о поступлении денежных средств;

•  отчетов о ходе выполнения финансовых, производственным и кассовых планов;

• - информации о финансовом состоянии предприятия;

• Разработка валютной политики предприятия.

• Определение возможных финансовых рисков, их оценка применительно к каждому источнику средств.

• Разработка предложений по уменьшению финансовых рисков и программ по страхованию.

• Определение стратегии предприятия в области лизинговых операций, осуществление лизингового финансирования.

• Участие в пределах своей компетенции в рассмотрении вопросов, связанных с учреждением новых предприятий, реорганизацией и ликвидацией структурных подразделений предприятия.

• Организация финансовой деятельности предприятия с целью наиболее эффективного использования всех видов ресурсов в процессе производства и реализации продукции (работ, услуг) и получения максимальной прибыли.

• Управление движением финансовых ресурсов предприятия и регулирование финансовых отношений, возникающих между хозяйствующими субъектами в целях наиболее эффективного использования всех видов ресурсов.

• Подготовка материалов для составления бизнес-плана предприятия.

• Участие в подготовке проектов планов: реализации продукции (работ, услуг), капитальных вложений, научных исследований и разработок.

• Определение и реализация инвестиционной политики, участие в работе по изысканию дополнительных инвестиционных и финансовых ресурсов.

• Определение источников финансирования капитальных вложений.

• Разработка и утверждение плана капитальных вложений.

• Определение порядка и условий финансирования капитального или текущего ремонта основных фондов, оформление предложений по отнесению расходов на себестоимость продукции.

• Обеспечение своевременного поступления доходов.

• Оформление финансово-расчетных и банковских операций в установленные сроки, включая предъявление в банки платежных требований, поручений и других расчетных документов, получение документов на отгрузку продукции, выписок счетов.

• Принятие мер к своевременному получению средств за отгруженную продукцию (выполненные работы, оказанные услуги).

• Подготовка необходимых материалов для проведения взаимозачетов.

• Разработка и осуществление мероприятий, способствующих своевременности платежей, выбор форм расчетов с контрагентами и обеспечение соблюдения правил ведения расчетов.

• Обеспечение финансирования затрат, предусмотренных финансовыми планами, планами капитальных вложений.

• Доведение показателей финансовых планов и вытекающих из них заданий до структурных подразделений предприятия.

• Осуществление контроля за выполнением финансовых планов структурными подразделениями.

• Обеспечение выполнения финансовых, производственным и кассовых планов.

Функции начальника отдела по работе с клиентами:

• Выполняет все функции по работе с клиентами или, через подчиненных, осуществляет координацию и контроль за выполнением этих функций.

• Развивает и поддерживает эффективную работу департамента с помощью подходящих процедур отбора, обучения персонала и распределения задач.

• Оценивает, продвигает, увольняет сотрудников, дает рекомендации по продвижению и повышению заработной платы.

• Руководит совещаниями для того, чтобы решить такие вопросы, как проблемные расчеты и проблемы с качеством.

• Отвечает за координацию изменений в расписании с продавцами, клиентами и департаментами компании, за своевременную отгрузку продукции, в соответствии с запросами клиента.

• Обеспечивает клиентам сервис в соответствии с требованиями контракта, включая установку и обучение использованию.

• Разбирает корреспонденцию клиентов, жалобы и заказы крупных клиентов и все – на управленческом уровне.

• Руководит разработкой скидок и льгот.

• Лично контролирует объемы продаж, принимает решения по ценам, находит покупателей, организует транспортировку, решает финансовые вопросы.

• Управляет ценовой политикой.

• Руководит осуществлением всех государственных платежей.

• Соблюдает и поддерживает все государственные стандарты ведения финансовых операций.

Функции отдела логистики:

• Обеспечение выполнения обязательств по поставкам продукции и товаров в соответствии с заключенными договорами.

• Разработка совместно с техническими и экономическими службами предприятия планов сотрудничества с отечественными и зарубежными организациями; контроль за исполнением этих планов.

• Сбор, накопление и анализ информации по международному опыту в решении отдельных проблем в области логистической деятельности.

• Планирование, организация, контроль и управление материальными и нематериальными операциями, совершаемыми в процессе доведения сырья, материалов и готовой продукции до потребителя в соответствии с интересами и требованиями последнего, а также обработка, анализ и хранение соответствующей информации.

• Осуществление организации, планирования и контроля за внешнеэкономической деятельностью предприятия на стадиях:

o  заключения договоров;

o  поставки продукции в соответствии с заключенными договорами;

o  таможенного оформления товаров;

o  ведения учета и отчетности на складах.

• Участие в подготовке материалов к заключению договоров с поставщиками и потребителями.

• Контроль выполнения поставщиками обязательств по заключенным договорам (сроки поставок, цены, количество, качество, номенклатура и т.д.)

• Организация, планирование и контроль в обеспечении деятельности складского хозяйства.

• Осуществление контроля за товарными и информационными потоками с учетом комплексного подхода по схеме: нужный товар - в необходимом количестве - необходимого качества - в нужное время - в нужное место с минимальными затратами.

• Разработка рекомендации и рациональных предложений по организации деятельности соответствующих служб предприятия, с целью оптимизации затрат при доведении материальных потоков от продавца к покупателю.

1.2  Анализ рисков информационной безопасности

1.2.1  Идентификация и оценка информационных активов

Для анализа рисков и угроз прежде всего выявляются активы (компоненты АС), нуждающиеся в защите.

В процессе идентификации активов фиксируются технологии ввода, хранения, обработки и передачи информации в системе. Главным результатом процесса идентификации активов является получение детальной информационной структуры организации и способов использования информации. Дальнейшие этапы анализа риска основываются именно на данной, зафиксированной на некоторый момент времени, информации.

Основными свойствами безопасности информационных активов являются следующие свойства:

• «Конфиденциальность». Свойство, позволяющее не давать права на доступ к информации или не раскрывать ее неполномочным лицам, логическим объектам или процессам;

• «Целостность». Свойство сохранения точности и полноты ресурсов;

• «Учетность». Свойство, обеспечивающее однозначное отслеживание собственных действий любого логического объекта;

• «Доступность». Свойство быть доступным и используемым по запросу со стороны уполномоченного логического объекта;

•  «Аутентичность». Свойство обеспечения идентичности субъекта или ресурса заявленной идентичности. Аутентичность применяется к таким субъектам как пользователи, процессы, системы и информация;

• «Функциональность/Надежность». Свойство соответствия преднамеренному поведению и результатам.

Определение степени потребности актива в свойстве безопасности основывается на определении объема возможных негативных последствий для компании в результате инцидентов информационной безопасности, приводящих к нарушению или потери одного или нескольких свойств безопасности.

Для определения объема негативных последствий от нарушения свойства безопасности актива вследствие инцидента информационной безопасности должны оцениваться:

• степень влияния нарушения свойства безопасности актива на деятельность компании;

• уровень ответственности сотрудников компании за нарушение свойства безопасности актива;

• объем   дополнительных   затрат,   необходимых   для   восстановления   свойства безопасности актива и ликвидации последствий инцидента информационной безопасности.

При оценке степени влияния нарушения свойства безопасности актива на деятельность компании используются критерии, представленные в таблице 1.2.

Таблица 1.2

Уровни степени влияния нарушении свойства безопасности актива на деятельность компании

Уровень степени влияния Критерии, определяющие уровень степени влияния

Нулевой Свойство безопасности не актуально для актива (негативные последствия отсутствуют)

Низкий В случае нарушения свойства безопасности актива, ущерб наносится только самому активу. При этом не происходит нарушение процессов деятельности, в которых задействован актив.

Средний В случае нарушения свойства безопасности актива, ущерб наносится как самому активу, так и процессам деятельности, в которых данный актив задействован. При этом не нарушаются виды основной деятельности, в рамках которых функционируют указанные процессы.

Высокий В случае нарушения свойств безопасности актива, ущерб наносится активу, процессам деятельности, в которых данный актив задействован, а также некоторым (отдельным) видам деятельности, реализуемым данными процессами.

Критичный В случае нарушения свойств безопасности актива, возникают нарушения и наносится ущерб для деятельности на всех уровнях, что, в свою очередь, приводит к нарушению деятельности подразделения в целом.

Применительно к производственным  организациям можно выделить три группы лиц, на которых может быть возложена ответственность за нарушение требований регулирующих деятельность подразделений нормативно-правовых документов, а именно:

• ответственность несут рядовые сотрудники;

• ответственность несут руководители среднего звена (начальники отделов, секторов, служб);

• ответственность несут руководители высшего звена (высшее руководство).

Применительно к деятельности производственных организаций можно выделить следующие основные виды ответственности:

• «Дисциплинарная». Дисциплинарная ответственность заключается в наложении дисциплинарного взыскания на сотрудника руководством кредитной организации или вышестоящим в порядке подчиненности органом (выговор, строгий выговор, увольнение).

• «Материальная». Материальная ответственность сотрудников кредитной организации накладывается за ущерб, причиненный их неправильными служебными действиями или невыполнением служебных обязанностей. Материальная ответственность может возлагаться на сотрудников только в случаях, предусмотренных законодательством;

• «Контрактная/договорная». Договорная ответственность возникает при невыполнении обязательств по договору. Ответственность наступает при невыполнении договорных обязательств или их ненадлежащем выполнении, если должник не может доказать, что это не его вина;

• Административная». Административная ответственность накладывается в случае совершения административного нарушения сотрудниками кредитной организации. При этом к административной ответственности привлекаются только на основании законодательства, действующего на момент совершения нарушения.;

• «Уголовная». Уголовная ответственность заключается в применении к нарушителю государственного принуждения в форме наказания. Привлечение к уголовной ответственности означает возбуждение уголовного дела, последующее расследование и судебное разбирательство, с последующим наказанием.

При оценке уровня ответственности сотрудников компании за нарушение свойства безопасности актива, используются критерии, представленные в таблице 1.3.

Таблица 1.3

Уровни ответственности сотрудников компании за нарушение свойства безопасности актива

Уровень ответственности Критерии, определяющие уровень ответственности

Низкий В случае нарушения свойства безопасности актива накладывается дисциплинарная и/или материальная ответственность только на рядовых сотрудников компании

Средний В случае нарушения свойства безопасности актива накладывается дисциплинарная, материальная или договорная ответственность на руководящий состав среднего звена кредитной организации (начальники отделов, секторов) и/или административная ответственность на рядовых сотрудников компании или на руководство среднего звена (начальники отделов, секторов)

Высокий В случае нарушения свойства безопасности актива накладывается любой вид ответственности на руководство высшего звена кредитной организации и/или уголовная ответственность на руководство среднего звена (начальники отделов, секторов) или рядовых сотрудников

Негативные последствия от нарушения свойства безопасности актива, приводят к дополнительным затратам, необходимых для восстановления свойства безопасности актива и ликвидации указанных негативных последствий. Можно выделить следующие основные виды дополнительных затрат:

• людские;

• временные;

• финансовые.

При оценке уровня объема дополнительных затрат, необходимых для восстановления свойства безопасности актива используются критерии, представленные в таблице 1.5