Файл: Назначение и структура системы защиты информации коммерческого предприятия (Внутренние угрозы информационной безопасности предприятия).pdf

4. Защитить информацию от утечки информации по каналу ПЭМИН на основе генератора шума по каналу ПЭМИН (табл. 2.8).

Табл. 2.8 Выбор генератора шума для защиты от утечки по каналам ПЭМИН

Из вышеперечисленных генераторов шума (табл. 2.8) наиболее целесообразным выбором можно считать ГШ-2500. Так как он имеет достаточные характеристики для защиты от утечки по каналам ПЭМИН выбранного отдела и при этом он является сравнительно дешёвым.

5. Защитить информацию от утечки информации по телефонному каналу на основе устройства защиты телефонных переговоров (табл. 2.9).

Табл. 2.9 Выбор устройства защиты телефонных переговоров

Из вышеперечисленных устройств для защиты телефонных переговоров (табл. 2.9) наиболее целесообразным выбором является SEL SP-17/D. Так как он имеет достаточные характеристики для защиты телефонных переговоров и стоит значительно дешевле конкурентов.

В рамках подсистемы ФЗИ предполагается реализовать:

Для защиты от физического проникновения в отдел:

1. Установить железную тамбурную дверь. Установка данной двери уже было запланирована в рамках подсистемы ИТЗИ для защиты от утечки по акустическому каналу.

2. Установить на окно наружные железные решётки. Стоимость решёток с установкой 2000 руб.

3. Для контроля допуска в отдел установить на входную дверь электромагнитный замок, открывающийся при помощи индивидуальных пластиковых карт. Установка данного средства уже была запланирована в рамках подсистемы ОЗИ (табл. 2.1).

Все технические средства, выбранные в работе для СЗИ отдела разработки ПО сертифицированы ФСТЭК России.

Также после введения СЗИ в эксплуатацию рекомендуется еженедельно проводить плановую проверку исправности работы всех её компонентов, а в случае выявления неполадок в работе незамедлительно проводить работы по устранению возникших проблем и восстановлению работоспособности системы.

Также стоит отметить систему управления, в рамках которой ответственным за ЗИ в отеле разработчиков ПО предполагается назначить ведущего программиста, при этом его действия будет координировать администратор по безопасности.

Итак, подведём итоговую стоимость совершенствования СЗИ отдела разработки ПО (табл. 2.10).

Табл. 2.10 Общая стоимость совершенствования СЗИ отдела разработки ПО

Таким образом, по итогам таблицы 2.10 общая стоимость совершенствования СЗИ составляет 229950 руб. Стоит напомнить, что стоимость защищаемой информации в отделе разработки ПО составляет
3 млн. руб. Можно сделать вывод, что стоимость усовершенствования СЗИ ниже десятой доли от стоимости защищаемой информации, следовательно затраты на совершенствование СЗИ можно назвать приемлемыми.

Далее следует представить схему отдела разработки ПО с указанием новых установленных средств в рамах усовершенствованной СЗИ.

Таким образом:

1. Основная цель создаваемого проекта усовершенствовать СЗИ отдела разработки ПО до требуемого уровня, в соответствии с принятой стратегией по ИБ.

2. Основными направлениями совершенствования существующей СЗИ следует рассматривать:

1) Усовершенствование подсистемы ОЗИ;

2) Усовершенствование подсистемы ПЗИ;

3) Усовершенствование подсистемы КБ;

4) Усовершенствование подсистемы ИТЗИ;

5) Усовершенствование подсистемы ФЗИ.^[4]

3. Для совершенствования интегральной СЗИ отдела разработки ПО в рамках каждой из её подсистем были предложены соответствующие меры по ЗИ и выбраны технические средства. Итоговая стоимость совершенствования интегральной СЗИ составила 229950 руб., что можно назвать приемлемой суммой, так как это ниже десяток доли от стоимости защищаемой информации (3 млн. руб.).

3. Оценка эффективности разработанного проекта

3.1.Функциональная оценка эффективности усовершенствованной интегральной СЗИ отдела разработки ПО

Для оценки эффективности усовершенствованных подсистем СЗИ отдела разработки ПО будет использована экспертно-табличная методика оценки эффективности, та же, что и в первой части работы.

Будет проведена оценка следующих подсистем СЗИ отдела разработки ПО:

1. Подсистема организационной защиты информации (ОЗИ);

2. Подсистема правовой защиты информации (ПЗИ);

3. Подсистема компьютерной безопасности (КБ);

4. Подсистема физической защиты информации (ФЗИ);

5. Подсистема инженерно-технической защиты информации (ИТЗИ).

Для этого составлена таблица (табл. 3.1), в которой будет проведена экспертная оценка эффективности перечисленных подсистем СЗИ отдела разработки ПО.^[5]

Табл. 3.1. Экспертная оценка эффективности подсистем СЗИ

По результатам табл. 3.1 было построено обобщённое графическое представление полученных результатов эффективности СЗИ отдела разработки ПО (рис. 3.1).

Рис. 3.1 Достигнутая функциональная эффективность СЗИ отдела разработки ПО

Таким образом, как видно из выше представленного рисунка (рис. 3.1) уровень достигнутой функциональной эффективности интегральной СЗИ отдела разработки ПО равен требуемому (≥0.87) в соответствии с принятой наступательной стратегией по ИБ.

3.2 Уточнение существующей политики по ИБ организации

Для внедрения усовершенствованной интегральной СЗИ отдела разработки ПО рекомендуется внести следующие уточнения в политику по ИБ:

В пункт 3.1 «Права, обязанности и степень ответственности сотрудников» внести следующие уточнения:

Для ведущего программиста:

Обязанности: определяет текущие цели и задачи поставленные перед программистами, архитектуру, лежащую в основе разрабатываемой программы, распределяет работы и отслеживание выполнения задач программистами, обучает новых или менее опытных разработчиков, теперь кроме вышеперечисленного он обязан контролировать СЗИ отдела разработки ПО, а также действия других сотрудников этого отдела влияющих на функционирование СЗИ.

Ответственность: несёт ответственность за выполнение своих обязанностей программистами, а теперь также за сохранность конфиденциальности, целостности, доступности, информации хранящейся на своём компьютере и компьютерах программистов и за нормальное функционирование всех технических и программных средств обеспечивающих ЗИ в отделе разработки ПО.

В пункт 6.1 «Локальная безопасность»:

1. Антивирусный контроль. Теперь он осуществляется при помощи антивируса «Outpost Security Suite Pro». Его антивирусные базы необходимо обновлять, как минимум раз в неделю централизованным способом, без непосредственного подключения АРМ отдела разработки ПО к сети интернет. Также все сотрудники отдела не имеют права каким-либо образом блокировать установленное антивирусное обеспечение, устанавливать другое, изменять его настройки.^[6]

2. Если пользователь не пользовался своим компьютером 10 мин., то он блокируется и система снова просит ввода идентификационных данных;