Файл: Оценка уязвимостей активов.pdf

ВВЕДЕНИЕ

С каждым днем повышается роль информации в современном обществе. Информация становится стратегическим ресурсом, товаром, владение которым приносит немалую прибыль. Информация обладает некоторыми стоимостными характеристиками и потребительскими свойствами. В связи с этим особо актуальной становится проблема защиты информации.

С любым информационным объектом могут быть связаны определенные угрозы. При этом угрозы могут быть как случайными, так и преднамеренными. Так, служащий организации может случайно удалить важную информацию в базе, испортить носитель данных, допустить ошибки при вводе или передаче информации. Однако, случайные угрозы возникают не так уж часто, и современные программные и технические средства защищают информацию от случайных сбоев и ошибок.

Более опасными являются преднамеренные угрозы информационной безопасности, в ходе которых нарушается целостность, достоверность или конфиденциальность информации. Перечень таких угроз с каждым днем растет, поэтому для их предотвращения необходимо совершенствовать средства обнаружения угроз и защиты информации.

Арсенал и изощренность таких угроз неуклонно расширяются, поэтому для их нейтрализации необходимо предугадать не только возможные цели злоумышленника, но и его квалификацию и техническую оснащенность.

Однако, при организации системы защиты информации важно не ждать, когда угрозы проявятся, а уметь спрогнозировать их и провести профилактику. Для этого в организации должна быть разработана политика информационной безопасности, которая предусматривает возникновение угроз различным носителям и каналам информации, а также предлагает меры для их предотвращения и устранения.

Для реализации политики информационной безопасности используются различные средства, методы и мероприятия. К их числу относятся, в частности, правовые нормы, организационные мероприятия, инженерно-технические и программно-аппаратные средства, методы криптографии.

На информационную безопасность организации влияет множество факторов. В связи с этим эффективное решение проблемы информационной безопасности в организации будет возможным только благодаря комплексным и систематическим мерам.

В настоящее время, вопросам информационной безопасности уделяется достаточно много внимания. В связи с этим ведутся многочисленные исследования, разрабатываются алгоритмы защиты информации, появляются новые технические и программные средства защиты информации.

---

На рынке защиты информации предлагается много отдельных инженерно-технических, программно-аппаратных, криптографических средств защиты информации. В литературе по защите информации можно найти описание методов и средств на их основе, теоретических моделей защиты. Однако для того, чтобы создать на предприятии условия эффективной защиты информации, необходимо объединить отдельные средства защиты в систему. Создание системы защиты информации (СЗИ) не является главной задачей предприятия, как, например, производство продукции и получение прибыли. Поэтому создаваемая СЗИ не должна приводить к ощутимым трудностям в работе предприятия, а создание СЗИ должно быть экономически оправданным. Тем не менее, она должна обеспечивать защиту важных информационных ресурсов предприятия от всех реальных угроз.

Целью работы является разработка проекта комплексной системы защиты информации на предприятии ООО «Рапито». Для достижения поставленной цели сформулированы следующие задачи:

• изучение предметной области и выявление недостатков в существующей системе обеспечения информационной безопасности и защите информации, определяющих необходимость разработки проекта;
• разработка постановки задачи проектирования;
• обоснование выбора основных проектных решений;
• разработка всех видов обеспечивающих подсистем;
• обоснование экономической эффективности проекта.

Предметом работы является комплексная система защиты информации, а объектом – информационная система ООО «Рапито».

При написании работы применялись такие методы, как анализ литературных источников, методы системного анализа, методы функционального моделирования, экономические и математические методы.

Предложенная в работе политика защиты информационных ресурсов может быть внедрена в ООО «Рапито», что определяет практическую значимость работы.

ГЛАВА 1 Теоретические аспекты защиты информации

1.1 Технико-экономическая характеристика предметной области и предприятия

---

Основная деятельность предприятия ООО «Рапито» заключается в оказании профессиональных услуг в области дизайна, верстки и полиграфии. Отдельный и наиболее быстро развивающийся сектор полиграфического рынка – печать рекламной продукции (различных буклетов, этикеток, плакатов, афиш).

Виды выпускаемой продукции:

• этикетно-упаковочная продукция (этикетки, ярлыки, ценники, наклейки, упаковки, коробки, пакеты и т.д.);
• различная представительская продукция (годовые отчеты, корпоративные газеты, настенные и настольные календари, брошюры, проспекты, визитки, бланки, блокноты, папки, конверты, приглашения и т.д.);
• книжная, газетная, журнальная продукция (книги в переплете и обложке, журналы, проспекты);
• рекламная и сувенирная продукция (плакаты, афиши, проспекты, полноцветные буклеты, сувениры, открытки, каталоги, флаеры, объявления, вымпелы и т.д.).

Развитие полиграфической отрасли в России сдерживается по определенным причинам, и в том числе – в связи с высокой стоимостью используемого типографского оборудования. Чтобы получить прибыль, надо использовать дорогостоящее оборудование для высококачественной печати, при этом цена современных печатных станков или комплекса оборудования составляет не менее 1 млн. долларов.

Минимальный объем вложений для создания конкурентоспособного предприятия в секторе производства полиграфической продукции сегодня составляет не менее 30 млн. долларов. Время выхода на рынок – не менее полутора лет, срок возврата вложений составляет не менее трех-пяти лет. Вместе с тем в России достаточно развит рынок подержанного оборудования для производства полиграфической продукции, часто применяется лизинг. Все это позволяет начать дело по производству полиграфической продукции с меньшими затратами.

Быстрее всего и с меньшими затратами получается начать дело в секторе оперативной полиграфии.

В целом же, для развития полиграфической отрасли в настоящее время существует несколько ключевых препятствий:

1. Серьезная зависимость от импорта: отсутствие отечественного полиграфического оборудования, отвечающего всем современным требованиям; отсутствие качественной отечественной бумаги (мелованная).

Именно мелованная бумага требуется издателям для большинства полиграфической продукции. А она не производится в России. Для создания экономических предпосылок к созданию производства мелованных бумаг необходимо решать проблемы стимулирования рынка производства и распространения печатной продукции.

---

2. Несовершенное таможенное законодательство: высокие пошлины на ввоз бумаги, расходных материалов, оборудования; льготная ставка НДС (10%) на ввоз полиграфической продукции не рекламного характера.

Стоит отметить, что в настоящее время иностранные поставщики, которые работают на рынке полиграфических услуг, имеют большие конкурентные преимущества перед отечественными производителями, поскольку могут их цены существенно ниже российских. И основная причина этого – несовершенная налоговая система России.

3. Износ оборудования, нехватка мощностей в целом по стране.

Износ полиграфического оборудования по всей отрасли составляет порядка 75%. Технический уровень полиграфии в различных регионах страны достиг крайне низкого уровня. Повысить конкурентоспособность отрасли возможно привлечением дополнительных инвестиций. Эксперты уверены, что единственный возможный путь решения проблемы - создание совместных предприятий для оснащения полиграфического оборудования основными узлами от импортных производителей.

4. Нехватка кадров, отсутствие необходимого количества квалифицированного персонала.

В настоящее время в отрасли отсутствует необходимое количество профессионалов, полиграфические вузы и факультеты появились не так давно, и не готовят специалистов в достаточном количестве.

В связи с этим можно отметить, что на рынке производства полиграфической продукции существует конкуренция, полиграфические компании пытаются выжить не только за счет качества своего товара, но и за счет уничтожения конкурентов. В связи с этим в полиграфическом бизнесе практикуется кража информации, ее подмена, фальсификация или попросту уничтожение или вывод из строя компьютерной техники и сети предприятия.

Таким образом, конкуренция на рынке полиграфической продукции очень высока, что приводит к попыткам перехвата и взлома информации, а также попыткам сбоя работы компьютерных систем. В связи с этим особое внимание должно уделяться информационной безопасности компании.

Для того, чтобы спроектировать систему информационной безопасности предприятия необходимо тщательно проанализировать функции предприятия, а также входящую и исходящую информацию. Для анализа проблемы подготовим функциональную модель на основе методологии IDEF0. Эта методология позволяет создавать совокупность функциональных диаграмм, описывающих предметную область. Функциональная модель отображает функциональную структуру объекта, т.е. производимые им действия и связи между этими действиями. Функциональная модель состоит из диаграмм, фрагментов текстов и глоссария, имеющих ссылки друг на друга [2, c. 15].

---

Для анализа существующей технологии обработки информации на предприятии нужно разобрать структурно-функциональную диаграмму. Для этого воспользуемся программой «AllFusion Process Modeler».

«All Fusion Process Modeler» - инструмент для моделирования, анализа, документирования и оптимизации бизнес-процессов. «All Fusion Process Modeler» можно использовать для графического представления бизнес-процессов.

На рисунке 1.12. представлена контекстная диаграмма деятельности компании «Рапито».

Рис. 1.1. Контекстная диаграмма

Как видно на рисунке 1.2, основной функцией, которую мы анализируем, является деятельность компании. Для выполнения этой функции необходимо получение таких первоначальных данных или документов:

• заказы клиентов (заполняется на бланке установленного образца);
• цены на товары и услуги;
• информация об услугах (полный перечень услуг с указанием примерных сроков и стоимости);
• скидки клиентам;

Эти данные (и документы) являются входами функционального блока. В результате выполнения функции будут получены следующие результаты:

• выполненная работа;
• бухгалтерская и управленческая отчетность.

Эти данные (и документы) являются выходами функционального блока. В качестве управления используются такие механизмы:

• должностная инструкция работника (в работе сотрудник руководствуется положениями своей должностной инструкции);
• НПА РФ (знание и применение норм законодательства особенно важно при заключении договора).

Механизмом реализации данной функции являются персонал компании, компьютерные средства и программное обеспечение. Однако контекстная диаграмма отражает лишь общую функцию, поэтому для понимания того, как функционирует компания необходимо выполнить декомпозицию контекстной диаграммы.

Декомпозиция контекстной диаграммы предполагает выделение основных функций, которые должны быть выполнены для реализации основной функции. При выполнении декомпозиции стоит обратить внимание, что все входы, выходы, стрелки управления и механизма, присутствующие на контекстной диаграмме, должны быть отражены и на диаграмме, полученной в результате декомпозиции (функциональной диаграмме первого уровня). Эта диаграмма представлена на рисунке 1.2.

Рис. 1.2. Функциональная диаграмма первого уровня

Стоит отметить, что в результате декомпозиции основного процесса было выделено пять подпроцессов:

---